BVwG W245 2245407-1

AVG §74
B-VG Art133 Abs4
DSG §1
DSGVO Art17
DSGVO Art5
DSGVO Art6
E-GovG §3
E-GovG §6
E-GovG §6b
VwGVG §17
VwGVG §35

European Case Law Identifier: ECLI:AT:BVWG:2023:W245.2245407.1.00

Spruch:

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Bernhard SCHILDBERGER, LL.M. als Vorsitzenden sowie Mag.a Viktoria HAIDINGER als fachkundige Laienrichterin und Mag. Thomas GSCHAAR als fachkundigen Laienrichter über die Beschwerde von Rechtsanwalt XXXX , geboren am XXXX , XXXX , XXXX , gegen den Bescheid der Datenschutzbehörde vom 02.07.2021, Zl. 2020-0.686.867 (DSB-D124.2624), betreffend Verletzung des Rechts auf Geheimhaltung gemäß § 1 DSG sowie Verletzung des Rechts auf Löschung gemäß Art. 17 DSGVO, zu Recht erkannt (A) I. und II.) bzw. beschlossen (A) III.):

I. Der Beschwerde von XXXX wird stattgegeben und festgestellt, dass das Bundesministerium für Digitalisierung und Wirtschaftsstandort (bis 17.07.2022) als Stammzahlenregisterbehörde bzw. das Bundesministerium für Finanzen (ab 18.07.2022) als Stammzahlenregisterbehörde den Beschwerdeführer XXXX dadurch im Recht auf Geheimhaltung gemäß § 1 DSG verletzt bzw. verletzt hat, indem es personenbezogene Daten von XXXX im Ergänzungsregister für sonstige Betroffene (ERsB) verarbeitet bzw. verarbeitet hat.

II. Dem Bundesministerium für Finanzen wird aufgetragen, innerhalb einer Frist von vier Wochen die Daten des XXXX aus dem Ergänzungsregister für sonstige Betroffene (ERsB) zu löschen.

III. Der Antrag des XXXX , der Datenschutzbehörde einen Kostenersatz aufzutragen, wird als unzulässig zurückgewiesen.

B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG zulässig.

Entscheidungsgründe:

Verfahrensgegenstand:

Verfahrensgegenstand ist die Frage, ob die Verarbeitung von personenbezogenen Daten des Beschwerdeführers XXXX (in der Folge auch „BF“) im Ergänzungsregister für sonstige Betroffene (in der Folge auch „ERsB“) rechtmäßig erfolgt, obwohl der Beschwerdeführer im Zentralen Melderegister eingetragen ist.

I. Verfahrensgang:

I.1. Am 13.05.2020 übermittelte der BF einen Antrag gemäß Art. 15 DSGVO an das Bundesministerium für Digitalisierung und Wirtschaftsstandort (ab 18.07.2022 Bundesministerium für Finanzen [siehe Punkt I.14], in der Folge der Mitbeteiligte, auch „MB“). Konkret begehrte der BF Auskunft über seine personenbezogenen Daten, welche im ERsB verarbeitet werden (VWA ./2, siehe Punkt II.2).

I.2. Das Auskunftsbegehren wurde vom MB mit Schreiben vom 27.05.2020 beantwortet (VWA ./3, siehe Punkt II.2). Dazu wurde ein Auszug mit aktuellen Daten des BF aus dem ERsB beigelegt (VWA ./4, siehe Punkt II.2, siehe Punkt II.1.3).

I.3. Mit E-Mail vom 03.06.2020 begehrte der BF gemäß Art. 17 DSGVO die Löschung seiner personenbezogenen Daten, welche im Zusammenhang mit dem ERsB verarbeitet werden (VWA ./5, siehe Punkt II.2). Dahingehend verwies der BF auf ein Gutachten von Rechtsanwalt XXXX (VWA ./6, siehe Punkt II.2).

I.4. Mit Schreiben vom 16.06.2020 lehnte der MB den Antrag des BF auf Löschung gemäß Art. 17 DSGVO ab (VWA ./7, siehe Punkt II.2). Begründend führte der MB aus, dass die Löschung gemäß Art. 17 Abs. 3 lit. b DSGVO nicht möglich sei, weil die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liege, erforderlich sei. Betreffend den BF sei die Eintragung durch die Finanz/Steuer veranlasst worden. Der Verwendungszweck könne bei dieser Stelle (zuständiges Finanzamt) erfragt werden.

I.5. Mit Einschreiben vom 25.06.2020 erhob der BF eine Beschwerde bei der Österreichischen Datenschutzbehörde (in der Folge die belangte Behörde, auch „bB“) und machte in seinem Antrag eine Verletzung im Recht auf Löschung gemäß Art. 17 DSGVO geltend (VWA ./1, siehe Punkt II.2).

Der BF erklärte, dass aus dem Rechtsgutachten (siehe VWA ./6) zweifelsfrei zu entnehmen sei, dass nur jene Personen, die nicht im ZMR eingetragen worden seien, überhaupt in das ERsB hätten eingetragen werden dürfen (§ 6 Abs. 4 E-GovG, § 1 ERegV). Dies gelte auch für das Ergänzungsregister für natürliche Personen, welches nicht öffentlich sei. Auch verwies der BF darauf, dass er als Rechtsanwalt und ehemaliger Staatsanwalt mit seiner Privatadresse in einem öffentlichen Register – aufgrund seiner Vortragstätigkeit – eingetragen worden sei. Da die Löschung verweigert worden sei, komme es nicht nur zu einer Verletzung seiner Rechte, sondern es komme auch zu einer Gefährdung seiner Sicherheit.

Schließlich wies der BF auf eine Verletzung von Grundsätzen für die Verarbeitung personenbezogener Daten (Art. 5 Abs. 1 lit. b, c, d, e und f DSGVO) hin und merkte an, dass die Rechtmäßigkeit einer Verarbeitung gemäß Art. 6 Abs. 1 lit. e DSGVO nicht vorliege, weil seine Daten ohnehin beim Bundesministerium für Finanzen gespeichert seien.

Seiner Beschwerde an die bB legte der BF die Dokumente VWA ./2, ./3, ./4, ./5, ./6 und ./7 bei.

I.6. Mit Schreiben vom 06.07.2020 forderte die bB den BF zur Verbesserung auf (VWA ./8, siehe Punkt II.2). Hierauf antwortete der BF am 10.08.2020 und erklärte, dass er sich in seinem Recht auf Geheimhaltung seiner personenbezogenen Daten, wie insbesondere seiner Privatadresse, verletzt erachte (VWA ./9, siehe Punkt II.2). In der Folge teilte die bB am 21.08.2020 dem BF mit, dass die Beschwerde nunmehr wegen der behaupteten Verletzung im Recht auf Löschung und wegen der behaupteten Verletzung im Recht auf Geheimhaltung geführt werde (VWA ./10, siehe Punkt II.2).

I.7. Mit Schreiben der bB vom 21.08.2020 wurde der MB zur Stellungnahme aufgefordert. Dazu wurden ihm die Dokumente VWA ./1 bis ./10 übermittelt (VWA ./11, siehe Punkt II.2).

I.8. Mit Replik vom 22.09.2020 erfolgte eine Stellungnahme des MB (VWA ./12, siehe Punkt II.2).

Betreffend die Verletzung des Rechts auf Geheimhaltung gemäß § 1 DSG führte der MB aus, dass das Ergänzungsregister ein Bestandteil des Identitätsmanagements im österreichischen E-Government sei. Es werde nach natürlichen Personen (ERnP) und nach sonstigen Betroffenen (ERsB) getrennt geführt. Im E-Government sei eine Differenzierung beim Begriff „Identität“ sowie beim Betroffenenbegriff von großer Bedeutung. Die eindeutige Unterscheidbarkeit der Betroffenen sei eine notwendige Voraussetzung für die inhaltliche Richtigkeit der E-Government-Anwendungen. Insofern bestehe ein berechtigtes Interesse, in elektronischen Verfahren unverwechselbar unterscheiden zu können, ob eine natürliche Person in Privatangelegenheiten agiere oder unternehmerisch tätig sei.

Adressat des E-GovG als Betroffener sei gemäß § 2 Z 7 E-GovG jede Einheit, der bei ihrer Teilnahme am Rechts- oder Wirtschaftsverkehr eine eigene Identität zukommen könne. Dabei gehe das E-GovG von einem weiten Begriffsumfeld aus. Betreffend Unternehmen werde gemäß § 1b E-GovG auf den Unternehmensbegriff des § 3 Z 20 Bundesstatistikgesetz 2000 verwiesen. Dieser Unternehmensbegriff sei breit und umfasse gleichermaßen natürliche Personen (z.B. freie Dienstnehmer, freiberuflich Tätige, Einzelunternehmen) wie auch juristische Personen, Personengesellschaften, Personengemeinschaften und Personenvereinigungen, welche unternehmerisch tätig seien.

Dementsprechend könnten natürliche Personen im Identitätsmanagement des E-Government sowohl als natürliche Person, die nur im Zentralen Melderegister oder Ergänzungsregister für natürliche Personen zu erfassen sei oder etwa als Einzelunternehmen, das ins Ergänzungsregister für sonstige Betroffene einzutragen sei, Betroffener im Sinne § 2 Z 7 E-GovG sein. Es sei wichtig hervorzuheben, dass hier eben nicht der Mensch in seiner Eigenschaft als natürliche Person eingetragen werde, sondern als Unternehmen – sei dieses auch keine eigene Rechtspersönlichkeit und einer natürlichen Person als Träger zurechenbar.

Ein Einzelunternehmen sei daher unter dem Begriff der „Einrichtung“ im Sinne § 2 Z 7 E-GovG zu subsumieren, da erst diese Interpretation alle denkbaren Akteure umfassen könne, welche am Rechts- oder Wirtschaftsverkehr als unterscheidbare Identität teilnehmen würden. Somit sei die Eintragung von Einzelunternehmen im Ergänzungsregister für sonstige Betroffene zulässigerweise erfolgt.

Die Verarbeitung der Daten des Ergänzungsregisters für sonstige Betroffene beruhe auf der gesetzlichen Grundlage des § 6 Abs. 4 E-GovG, womit auch personenbezogene Daten zulässigerweise verarbeitet werden dürfen. Hinsichtlich der Anforderungen des Legalitätsprinzips werde auf den in dieser Bestimmung angeführten Zweck des Nachweises der eindeutigen Identität sonstiger Betroffener (Bestand, Bezeichnung) hingewiesen. Die exakten Datenkategorien würden im 3. Abschnitt in der Ergänzungsregisterverordnung normiert werden.

Zudem komme aufgrund des gesetzlich normierten Zwecks der eindeutigen Identifizierung von Betroffenen auch die Wahrnehmung von Aufgaben im öffentlichen Interesse gemäß Art. 6 Abs. 1 lit. e DSGVO als datenschutzrechtliche Grundlage für die Datenverarbeitung in Betracht.

Bezüglich der Verletzung des Rechts auf Löschung (Art. 17 DSGVO) gab der MB an, dass bereits im Schreiben vom 16.06.2020 (VWA ./7) ausgeführt worden sei, warum dem Löschungsbegehren nicht entsprochen werden konnte. Die Speicherdauer der Eintragungsdaten richte sich nämlich nach dem Bestehen des Verwendungszwecks der Daten durch österreichische Behörden. Die Datenspeicherung sei daher für diesen Zeitraum rechtlich zulässig und eine Löschung deshalb für diese Dauer nicht möglich gewesen. Hier komme Art. 17 Abs. 3 lit. b DSGVO zur Anwendung, wonach das Löschungsrecht nicht gelte, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liege, erforderlich sei. Bei dem BF sei die Eintragung durch die Eintragungsstelle Steuer (Finanzamt) veranlasst worden. In der Regel erfolge eine Eintragung in das Ergänzungsregister für sonstige Betroffene (ERsB) nach den Vorgaben des E-Government-Gesetzes, um beispielsweise Einkünfte aus Land- und Forstwirtschaft, selbständiger Arbeit oder Einkünfte aus Vermietung und Verpachtung sowie sonstiger Einkünfte durch die Finanzbehörde korrekt zuordnen zu können.

Ferner wies der MB auf eine Änderung der Rechtslage hin. Das Ergänzungsregister sei aufgrund der Novelle der Ergänzungsregisterverordnung, BGBl. II. Nr. 317/2020, nicht mehr als öffentliches Register zu führen, weshalb auch kein Datenauszug über diese Website mehr möglich sei.

Abschließend führte der MB in Hinblick auf das Eintragungsdatum im Jahr 2012 aus, dass gemäß § 24 Abs. 4 DSG der Anspruch auf Behandlung einer Beschwerde erlösche, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt habe, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden habe, einbringe.

I.9. Mit Schreiben der bB vom 06.10.2020 wurde die Stellungnahme des MB (VWA ./12) dem BF übermittelt und dem BF die Gelegenheit eingeräumt, dazu eine Stellungnahme abzugeben (VWA ./13, siehe Punkt II.2).

I.10. Mit Eingabe vom 20.10.2020 erfolgte eine Stellungnahme des BF (VWA ./14, siehe Punkt II.2). Er gab an, dass in der e-Government-Struktur in Österreich jede natürliche oder juristische Person eine eindeutige Nummer brauche. Mit diesen Nummern könne man sich in verschiedenen Rollen identifizieren und (online) Dienste des Staates nutzen.

Wenn ein Mensch in Österreich gemeldet sei, komme diese Nummer aus dem zentralen Melderegister. Der BF sei in Österreich gemeldet. Eine rechtmäßige Eintragung in eines der beiden nachfolgenden Register scheide daher aus (gemeint ERnB bzw. ERsB; siehe dazu auch Gutachten von Rechtsanwalt XXXX , VWA ./6).

Für Menschen, die nicht in Österreich gemeldet seien, aber hier Einkünfte hätten, komme diese Nummer aus dem Ergänzungsregister für natürliche Personen (ERnB), dass nicht öffentlich geführt werde. Bei Firmen sei dies die Nummer des Firmenbucheintrages.

Für alle anderen juristischen Personen gebe es das Ergänzungsregister für sonstige Betroffene (ERsB). Darin seien die Stiftungen, die Kirchen, die Wohnungseigentümergemeinschaften, die Behörden, die Gemeinden und auch natürliche Menschen zu finden, welche in den letzten Jahren Einkünfte aus Land- und Forstwirtschaft, selbstständiger Tätigkeit, aus Gewerbebetrieb oder Vermietung und Verpachtung gehabt hätten und nicht im Firmenbuch stehen würden. Das ERsB sei anders als das ERnB bis zum 10.07.2020 öffentlich geführt worden, obwohl der im e-Government-Gesetz genannte Adressatenkreis der Daten nur die Behörde selbst sei. Fraglich sei außerdem, ob der MB die Abfragen und Ausstattungsprozesse im ERsB protokolliert habe. Im Rahmen der erfolgten Datenschutzauskunft (siehe VWA ./3) seien dem BF diese Protokolldaten jedenfalls nicht übermittelt worden.

Die Argumentation des MB, natürliche Personen könnten Betroffene gemäß § 2 Z 7 E-GovG seien und wären in das ERsB einzutragen, da nicht der Mensch in seiner Eigenschaft als natürliche Person eingetragen werde, sondern das Unternehmen, sei dieses auch keine eigene Rechtspersönlichkeit und einer natürlichen Person als Träger zuzurechnen, mute äußerst befremdlich an und finde in der österreichischen Rechtsordnung auch keinen Widerhall. Die österreichische Rechtsordnung kenne natürliche und juristische Personen – eine natürliche Person, die unternehmerisch tätig sei, sei eine natürliche Person. Ein Mensch sei selbstredend weder juristische Person, noch Personenmehrheit oder Einrichtung gemäß § 2 Z 7 E-GovG.

Da weder die Eintragung in das ERsB, noch die Speicherung der Daten des BF rechtlich zulässig gewesen seien, bestehe ein Rechtsanspruch auf Löschung (Art. 17 DSGVO) und Feststellung der Verletzung seines verfassungsgesetzlich gewährleisteten Grundrechts auf Datenschutz (§ 1 DSG).

Im Lichte einer verfassungskonformen Interpretation, wonach einfache Gesetze im Einklang mit der Verfassung und daher auch mit § 1 DSG auszulegen seien, sei es massiv bedenklich, den Begriff des Betroffenen und auch der sonstigen Betroffenen gemäß E-GovG (und der ERegV) in einer Weise auszulegen, dass es zu einer faktischen Aushebelung des Grundrechts auf Datenschutz durch die Eintragung von Einzelunternehmen und den damit einhergehenden personenbezogenen Daten ihrer Rechtsträger im ERsB als öffentlich frei zugänglichen Register kommen könne. Auch vor dem Hintergrund, dass ein solcher Grundrechtseingriff wohl auch an der fehlenden Rechtfertigung gemäß § 1 Abs. 2 DSG iVm. Art. 8 Abs. 2 EMRK scheitern würde. Man stelle sich vor, der Staat könne das Grundrecht auf Datenschutz natürlicher Personen schlicht durch deren Umbenennung oder Neuklassifizierung und nachträgliche Einbeziehung natürlicher Personen umgehen.

Ergänzend sei festzuhalten, dass die vom MB betriebene extensive Auslegungsmöglichkeit in Form der Subsumtion der (von Einzelunternehmen betriebenen) Unternehmen unter die Rechtsbegriffe des Betroffenen bzw. des sonstigen Betroffenen bzw. der Einrichtung der Verwaltungsbehörden wohl auch dem Legalitätsprinzip nach Art. 18 B-VG widersprechen würde.

I.11. Mit Bescheid vom 02.07.2021 wies die bB die Beschwerde des BF als unbegründet ab (VWA ./15, siehe Punkt II.2).

Zur behaupteten Verletzung im Recht auf Geheimhaltung führte die bB aus, dass geprüft werden müsse, ob unter Berücksichtigung des Rechtfertigungstatbestandes Art. 6 Abs. 1 lit. e DSGVO die erfolgten Eintragungen im ERsb betreffend den BF in den Bestimmungen des E-GovG und der ERegV Deckung finden würden.

Gemäß § 3 Abs. 1 E-GovG dürfen im elektronischen Verkehr mit Verantwortlichen des öffentlichen Bereichs Zugriffsrechte auf personenbezogene Daten nur eingeräumt werden, wenn die eindeutige Identität desjenigen, der zugreifen wolle, und die Authentizität seines Ersuchens nachgewiesen werde. Dieser Nachweis müsse in elektronisch prüfbarer Form erbracht werden.

Dabei diene der Elektronische Identitätsnachweis (E-ID) dem Nachweis der eindeutigen Identität im elektronische Verkehr mit öffentlichen Stellen. Die eindeutige Identifikation von Betroffenen erfolge dabei auf Basis ihrer Stammzahl (§§ 4 Abs. 1, 6 Abs. 1 leg. cit.)

Für natürliche Personen, die im Zentralen Melderegister eingetragen seien, werde die Stammzahl aus ihrer ZMR-Zahl gebildet (§ 6 Abs. 2 leg. cit.).

Für Betroffene, die im Firmenbuch, im Vereinsregister oder im Ergänzungsregister eingetragen seien, sei die Stammzahl die Firmenbuchnummer, oder die Vereinsregisterzahl oder die im Ergänzungsregister vergebene Ordnungsnummer zu verwenden (§ 6 Abs. 3 leg. cit.).

Gemäß § 6 Abs. 4 leg. cit. seien Betroffene, die weder im Melderegister eingetragen seien, noch im Firmenbuch oder im Vereinsregister eingetragen seien müssen, auf ihren Antrag oder in den Fällen des § 10 Abs. 2 auf Antrag des Verantwortlichen der Datenverarbeitung im Ergänzungsregister einzutragen. Das Ergänzungsregister werde getrennt nach natürlichen Personen und sonstigen Betroffenen geführt.

Der Betroffenenbegriff werde in § 2 Z 7 E-GovG legal definiert. Ein „Betroffener“ könne jede natürliche Person, juristische Person sowie sonstige Personenmehrheit oder Einrichtung sein, der bei ihrer Teilnahme am Rechts- oder Wirtschaftsverkehr eine eigene Identität zukomme. „Identität“ sei laut Z 1 leg. cit. die Bezeichnung der Nämlichkeit von Betroffenen durch Merkmale, die geeignet seien, ihre Unterscheidbarkeit von anderen zu ermöglichen; solche Merkmale seien insbesondere der Name und das Geburtsdatum, aber auch etwa die Firma oder (alpha)nummerische Bezeichnungen.

Der BF sei eine natürliche Person. Abseits seiner Stellung als Privatperson trete er auch als Einzelunternehmer im Verkehr mit Verantwortlichen des öffentlichen Bereichs auf, da er selbständig Vortragstätigkeiten vornehme. Den Bestimmungen des E-GovG sei zu entnehmen, dass ein erhebliches öffentliches Interesse an einer eindeutigen Identifizierbarkeit im elektronischen Verkehr bestehe (vgl. insb § 3 Abs. 1 leg. cit.). Insofern sei die vom MB vertretene Ansicht, es handle sich dabei um einen Betroffenen, dem iSv § 2 Z 7 E-GovG eine eigene Identität – unabhängig von einer in diesem Zusammenhang unerheblichen (gesetzlich normierten) Rechtsfähigkeit – zukomme, durchaus nachvollziehbar. Durch den Vermerk der Organisationsform im ERsB als „Einzelunternehmen“ liege überdies die laut Z 1 leg. cit. geforderte Unterscheidbarkeit vom BF als Privatperson vor.

Aufgrund der vorliegenden Differenzierung der Person des BF (gemeint zwischen Privatperson und Einzelunternehmer) erweise sich auch die vom MB angeführte Bestimmung des § 6 Abs. 4 E-GovG als eine für die verfahrensgegenständliche Verarbeitung taugliche gesetzliche Grundlage: Die vom BF vorgebrachte Eintragung im Melderegister sei gerade nicht in seiner Eigenschaft als Einzelunternehmer durchgeführt worden, sondern vielmehr als (natürliche) Privatperson. Eine darüber hinausgehende Eintragung im Firmenbuch oder Vereinsregister sei nicht gegeben und sei auch zu keinem Zeitpunkt behauptet worden. Auch sei der bB eine inhaltliche, verfassungsmäßige Prüfung der gesetzlichen Grundlage gerade nicht möglich.

Ferner habe der BF im Verfahren nicht dargelegt, dass die Eintragung seiner personenbezogenen Daten in das ERsB entgegen den Bestimmungen der EReGV 2009 überschießend erfolgt wäre. Dahingehend hätten sich für die bB auch keine Anhaltspunkte ergeben. Zudem wies die bB darauf hin, dass die bis zum 07.05.2020 erfolgte Veröffentlichung der Daten des BF auf einer rechtlichen Grundlage beruht habe.

Insgesamt liege keine Verletzung im Recht auf Geheimhaltung des BF vor, da die Verarbeitung der personenbezogenen Daten des BF im Rahmen des ERsB auf die gesetzlichen Grundlagen des § 6 Abs. 4 iVm § 2 Z 7 des E-GovG sowie der ERegV 2009 habe gestützt werden können.

Zur behaupteten Verletzung im Recht auf Löschung führte die bB aus, dass eine unrechtmäßige Verarbeitung der personenbezogenen Daten des BF nicht vorliegen würde. Auch sei die Eintragung im ERsB für die Zwecke, für die sie erfolgt seien, weiterhin notwendig. Sonstige Löschungsgründe würden gegenständlich nicht in Frage kommen und seien auch vom BF nicht vorgebracht worden.

Der Bescheid wurde von der bB am 06.07.2021 dem BF mit E-Mail zugestellt.

I.12. Gegen den Bescheid der bB richtete sich die am 03.08.2021 fristgerecht erhobene Beschwerde (VWA ./16, siehe Punkt II.2). In seiner Beschwerde machte der BF eine Mangelhaftigkeit des Verfahrens sowie eine inhaltliche Rechtswidrigkeit geltend.

Zur Mangelhaftigkeit des Verfahrens führte der BF aus, dass die Feststellung der bB, dass er insbesondere aus Vortragstätigkeiten Einkünfte aus selbstständiger Tätigkeit erzielt habe, falsch sei. Dahingehend entgegnete der BF, dass er aus Vortragstätigkeiten überhaupt kein und wenn doch, ein lediglich in Promillebereich seines Jahresumsatzes liegendes Honorar erziele. Zudem verwies der BF darauf, dass er eine UID- Nummer und – selbstverständlich – eine ZMR-Zahl habe. Zudem gab der BF an, dass seine private Wohnadresse und sein Geburtsdatum nicht öffentlich abrufbar sein sollen, weil er außerhalb seines Berufes keinen Kontakt mit Klienten und/oder früher von ihm verfolgten Personen wünsche. Der BF sei vor seiner rechtsanwaltlichen Tätigkeit zehn Jahre Staatsanwalt der Staatsanwaltschaft XXXX gewesen. Die Vorgangsweise des MB würde dieses berechtigte Interesse massiv konterkarieren.

Zur inhaltlichen Rechtswidrigkeit erklärte der BF, dass die im bekämpften Bescheid zitierten Rechtsvorschriften, insbesondere § 6 Abs. 4 E-GovG im Zusammenhang mit der Eintragung im ERsB die eigene Argumentation der bB widerlegen würden. Lediglich Betroffene, die weder im Zentralen Melderegister noch im Firmenbuch oder Vereinsregister eingetragen seien, seien auf Antrag oder in den Fällen des § 10 Abs. 2 E-GovG im ERsB einzutragen. Darüber hinaus bestimme § 1 der ERegV 2009, dass die Stammzahlenregisterbehörde für Betroffene ein Ergänzungsregister zu führen habe, die weder im Zentralen Melderegister eingetragen seien, noch im Firmenbuch oder im Vereinsregister einzutragen seien.

Die bB halte lediglich floskelhaft fest, dass es sich bei dem BF um eine natürliche Person handle, die aufgrund einer selbstständigen Tätigkeit im Wirtschaftsleben als Einzelunternehmer auftrete und dass den Bestimmungen des E-GovG auch zu entnehmen sei, dass ein erhebliches öffentliches Interesse an einer eindeutigen Identifizierbarkeit im elektronischen Rechtsverkehr bestehe. Dies werde jedoch nicht näher ausgeführt oder begründet. Nicht berücksichtigt werde von der bB, dass nur jene natürlichen Personen, die nicht im Zentralen Melderegister eingetragen seien, überhaupt in das Ergänzungsregister eingetragen werden dürfen.

Aus dem bekämpften Bescheid der Behörde sei nicht zu entnehmen, welche öffentliche Interessen mit der Offenlegung der Daten im ERsB verfolgt werden würden. Die bB erläutere kein Interesse noch benenne sie eines. Es liege kein Grund oder gar eine Notwendigkeit vor, welche eine Registrierung des BF im ERsB rechtfertigen könnte. Schließlich sei auch ersichtlich, dass der Grundrechtseingriff nicht in der gelindesten, zum zielführenden Art vorgenommen worden sei, wäre doch die Eintragung im nicht öffentlich zugänglichen ERnB möglich gewesen.

Schließlich beantragte der BF, das BVwG wolle (1) in der Sache selbst erkennen und den Bescheid der bB aufheben und feststellen, dass der BF in seinem verfassungsgesetzlich gewährleisteten Recht auf Geheimhaltung und in seinem Recht auf Löschung verletzt werde, in eventu (2) den angefochtenen Bescheid der bB aufheben und die Sache zur Verfahrensergänzung an die bB zurückverweisen und (3) jedenfalls die bB in den Kostenersatz verfällen.

Der BF verzichtete auf die Durchführung einer mündlichen Verhandlung.

I.13. Die gegenständliche Beschwerde und der bezugshabende Verwaltungsakt (samt den Bestandteilen VWA ./1 bis ./17) wurden dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) am 13.08.2021 von der bB vorgelegt (OZ 1).

In einer Stellungnahme im Zuge der Aktenvorlage führte die bB aus (VWA ./17, siehe Punkt II.2), dass der Betroffenenbegriff nach § 2 Z 7 E-GovG – wie in der Begründung des angefochtenen Bescheids zu entnehmen sei –, jede natürliche Person, juristische Person sowie sonstige Personenmehrheit oder Einrichtung, der bei ihrer Teilnahme am Rechts- oder Wirtschaftsverkehr eine eigene Identität zukomme, umfasse. Maßgeblich sei somit das Vorliegen einer von dem BF als Privatperson zu unterscheidende eigene Identität im Wirtschaftsleben und damit zusammenhängend im elektronischen Verkehr mit Verantwortlichen des öffentlichen Bereichs gewesen, was von diesem dem Grunde nach – abgesehen vom (an dieser Stelle jedoch unerheblichen) Ausmaß der Tätigkeit – auch nicht bestritten worden sei.

Bezüglich den Behauptungen des BF, die bB habe seine Eintragung im Melderegister nicht (ausreichend) berücksichtigt, werde auf den angefochtenen Bescheid verwiesen, wonach die verfahrensgegenständliche Eintragung des BF gerade nicht als (natürliche) Privatperson, sondern vielmehr als (selbstständiger) Teilnehmer am Wirtschaftsleben erfolgt sei, welche – wie festgehalten – auf einer ausreichend determinierten gesetzlichen Grundlage beruht habe.

I.14. Aufgrund der Bundesministeriengesetz-Novelle 2022 (BGBl. I Nr. 98/2022), welche mit 18.07.2022 in Kraft getreten ist, fallen die Aufgaben der Stammzahlenregisterbehörde in den Wirkungsbereich des Bundesministeriums für Finanzen.

I.15. Mit Schreiben des BVwG vom 20.09.2022 wurde der MB vom BVwG zur Stellungnahme aufgefordert (OZ 5). Ebenso wurde der BF vom BVwG zur Stellungnahme aufgefordert (OZ 6).

I.16. Mit Stellungnahme vom 04.10.2022 wiederholte der MB (OZ 7) sein bisheriges Vorbringen (siehe Punkt I.8).

Ergänzend legte der MB dar, dass dem E-Government das Konzept des rollenbezogenen Identitätsmanagements zugrundeliege. Eine natürliche Person könne somit sowohl als „Privatperson“ agieren, als auch als Unternehmer (mit Eintragung im Firmenbuch oder ERsB), je nachdem in welcher Rolle die Person konkret auftrete. Besonders hervorzuheben sei, dass eben nicht der Mensch in seiner Eigenschaft als natürliche Person in das ERsB eingetragen werde, sondern das Unternehmen, auch wenn dieses keine eigene Rechtspersönlichkeit habe. Es komme diesem Unternehmen bei der Teilnahme am Rechts- oder Wirtschaftsverkehr aber eine eigene Identität zu, womit der Betroffenenbegriff des E-GovG erfüllt sei (vgl § 2 Z 7 E-GovG). Dieses Unternehmen sei dann einer natürlichen Person als Träger zuzurechnen.

Der Differenzierung zwischen Privatperson und Unternehmen beim Begriff „Identität“ sowie beim Betroffenenbegriff komme daher essentielle Bedeutung zu, da die eindeutige Unterscheidbarkeit der Betroffenen eine notwendige Voraussetzung für die inhaltliche Richtigkeit der E-Government-Anwendungen sei. Daraus folge, dass ein berechtigtes Interesse daran bestehe, in elektronischen Verfahren unverwechselbar unterscheiden zu können, ob eine natürliche Person in Privatangelegenheiten agiere oder unternehmerisch tätig werde. Diese Unterscheidung sei jedoch nicht nur auf elektronische Verfahren beschränkt. Die Feststellung der Eigenschaft als Unternehmen etc. sei auch in analogen Verfahren relevant.

Unternehmen (oder andere Entitäten), unabhängig von ihrer Rechtspersönlichkeit, welche nicht im Firmenbuch oder Vereinsregister eingetragen werden müssen, seien auf ihren Antrag oder in den Fällen des § 10 Abs. 2 E-GovG auf Antrag des Verantwortlichen der Datenverarbeitung im ERsB einzutragen. Dies erfolge in aller Regel, damit Unternehmen bzw. Entitäten an E-Government-Anwendungen teilnehmen können (z.B. durch Login im Wege des Unternehmensserviceportals) oder damit diese Unternehmen bzw. Entitäten in Datenverarbeitungen durch die Verantwortlichen eindeutig zugeordnet werden können.

Auch bestehe bei der Adressierung von Empfängern im System der elektronischen Zustellung (3. Abschnitt ZustG) eine klare Unterscheidung zwischen natürlichen Personen (Adressierungsmerkmal: bereichsspezifisches Personenkennzeichen) und sonstigen Empfängern (Adressierungsmerkmal: Stammzahl, also ERsB-Ordnungsnummer, Firmenbuchnummer, Vereinsregisternummer), womit eine natürliche Person, die z.B. unternehmerisch tätig sei, sowohl einen privaten Postkorb (unter oe.gv.at) als auch einen unternehmensbezogenen Postkorb (unter usp.gv.at ) habe.

Die dargelegten Ausführungen und das Beispiel zeige, dass jedenfalls ein berechtigtes öffentliches Interesse bestehe, festzustellen, ob eine natürliche Person in Privatangelegenheit oder unternehmerisch agiere.

I.17. Die Stellungnahme des MB wurde dem BF mit Schreiben des BVwG vom 11.10.2022 übermittelt. Der BF gab dazu keine Stellungnahme ab.

II. Das Bundesverwaltungsgericht hat erwogen:

II.1. Feststellungen:

Der entscheidungsrelevante Sachverhalt steht fest.

II.1.1. Zum Verfahrensgang:

Der unter Punkt I dargestellte Verfahrensgang wird festgestellt und der Entscheidung zu Grunde gelegt.

II.1.2. Zum Ergänzungsregister für sonstige Betroffene:

Das ERsB wurde bis zum 10.07.2020 als öffentliches Register, öffentlich abrufbar unter www.ersb.gv.at , geführt. Dieser Zugangspfad bzw. der Zugang wurde am 07.05.2020 gesperrt bzw. deaktiviert. Ab diesem Zeitpunkt hatten neben den Betroffenen selbst einzig Einrichtungen des Bundes, der Länder, Gemeinden, Sozialversicherungsträger und der gesetzlichen Interessenvertretungen Zugriff.

II.1.3. Zu den Eintragungen des BF im Ergänzungsregister für sonstige Betroffene:

„--------------------------------------------------------------------------------------------------------------------------

Stichtag: 26.05.2020 Auszug mit aktuellen Daten

---------------------------------------------------------------------------------------------------------------------------

Hinweis: Der Eintrag hat keine konstitutive Wirkung!

Letzte Eintragung am 30.05.2022 mit Eintragungsnummer 19.

ORDNUNGSNUMMER: XXXX

SEKUNDÄR ID: XXXX

KENNZIFFER DES UNTERNEHMENSREGISTERS: XXXX

BEZEICHNUNG des BETROFFENEN

5 XXXX

RECHTSCHARAKTER/ORGANISATIONSFORM

6 Einzelunternehmen

SITZ in

9 XXXX

XXXX GESCHÄFTSÄNSCHRTFT

9 XXXX

XXXX BESTANDSZEITRAUM VERWALTUNGSTECHNISCH

1 von 06.09.2012

INHABER/IN

A XXXX

1 von 13.10.2012 bis 31.12.2999

--- PERSONEN---------------------------------------------------------------------------------------------------------

11 A XXXX

15 XXXX

XXXX

-------------------- VOLLZUGSUBERSICHT -------------------------------------------------------------------------

Eintragungsstelle: Steuer

1 eingetragen am 03.10.2012

Wurde vollzogen eingelangt am 03.10.2012

2 eingetragen am 14.11.2012

Wurde vollzogen eingelangt am 14.112012

3 eingetragen am 27.05.2015

Wurde vollzogen eingelangt am 27.05.2015

4 eingetragen am 04.01.2016

Wurde vollzogen eingelangt am 04.01.2016

5 eingetragen am 13.04.2017

Wurde vollzogen eingelangt am 13.04.2017

6 eingetragen am 19.04.2018

Wurde vollzogen eingelangt am 19.04.2018

7 eingetragen am 19.04.2018

Wurde vollzogen eingelangt am 19.04.2018

8 eingetragen am 16.05.2018

Wurde vollzogen eingelangt am 16.05.2018

9 eingetragen am 21.05.2018

Wurde vollzogen eingelangt am 21.05.2018

10 eingetragen am 06.12.2018

Wurde vollzogen eingelangt am 06.12.2018

11 eingetragen am 24.06.2019

Wurde vollzogen eingelangt am 24.06.2019

12 eingetragen am 24.06.2019

Wurde vollzogen eingelangt am 24.06.2019

13 eingetragen am 15.11.2019

Wurde vollzogen eingelangt am 15.11.2019

14 eingetragen am 16.11.2019

Wurde vollzogen eingelangt am 16.11.2019

15 eingetragen am 14.05.2020

Wurde vollzogen eingelangt am 14.05.2020

16 eingetragen am 07.02.2022

Wurde vollzogen eingelangt am 07.02.2022

17 eingetragen am 28.04.2022

Wurde vollzogen eingelangt am 28.04.2022

18 eingetragen am 29.05.2022

Wurde vollzogen eingelangt am 29.05.2022

19 eingetragen am 30.05.2022

Wurde vollzogen eingelangt am 30.05.2022

Für das Dokumentende ist die Amtssignatur vorgesehen. Sollte auf Grund eines technischen Fehlers die Amtssignatur nicht ausgewiesen werden, erstellen Sie bitte zu einem späteren Zeitpunkt erneut den Auszug aus dem Register.

[AMTSSIGNATUR]“

II.1.4. Zu den Eintragungen des BF im Zentralen Melderegister (ZMR):

Der BF ist im Zentralen Melderegister unter der ZMR-Zahl „ XXXX “ eingetragen.

II.1.5. Zu den Interessen des Beschwerdeführers:

Aufgrund seiner 10-jährigen Tätigkeit als Staatsanwalt der Staatsanwaltschaft XXXX und seiner beruflichen Tätigkeit als Rechtsanwalt will der BF keinen Kontakt zu früher von ihm verfolgten Personen bzw. Klienten außerhalb seines Berufes.

II.1.6. Zu den Interessen des Mitbeteiligten:

Die Eintragung im ERsB war nach Ansicht des MB deshalb erforderlich, um in einem elektronischen Verfahren unterscheiden zu können, ob eine natürliche Person in Privatangelegenheiten agiert oder unternehmerisch tätig ist.

II.1.7. Zu den Rechtfertigungsgründen:

Eine Einwilligung des BF zur vorliegenden Verarbeitung seiner personenbezogenen Daten lag nicht vor. Auch ist diese Verarbeitung zur Erfüllung eines Vertragsverhältnisses nicht erforderlich. Es liegt kein Vertragsverhältnis zwischen dem BF und dem MB vor.

Es konnte nicht festgestellt werden, dass die Verarbeitung der personenbezogenen Daten des BF aus lebenswichtigen Interessen erfolgte.

Der MB stützte die Datenverarbeitung auf den Erlaubnistatbestand der Wahrnehmung von Aufgaben im öffentlichen Interesse gemäß Art. 6 Abs. 1 lit. e DSGVO iVm § 6 Abs. 4 E-GovG.

II.2. Beweiswürdigung:

Beweis wurde erhoben durch Einsicht in den Verwaltungsakt der bB [in der Folge kurz „VWA“ mit den Bestandteilen ./1 – Beschwerde des BF an die bB vom 25.06.2020 (siehe Punkt I.5), ./2 – Beschwerde des BF an die bB vom 25.06.2020 – Beilage – Antrag des BF auf Auskunft gemäß Art. 15 DSGVO vom 13.05.2020 (siehe Punkt I.1), ./3 – Beschwerde des BF an die bB vom 25.06.2020 – Beilage – Auskunft des MB vom 27.05.2020 (siehe Punkt I.2), ./4 – Beschwerde des BF an die bB vom 25.06.2020 – Beilage – Auszug aus dem ERsB betreffend den BF vom 26.05.2020 (siehe Punkt I.2), ./5 – Beschwerde des BF an die bB vom 25.06.2020 – Beilage – Antrag des BF auf Löschung gemäß Art. 17 DSGVO vom 02.06.2020 (siehe Punkt I.3), ./6 – Beschwerde des BF an die bB vom 25.06.2020 – Beilage – Gutachten von Rechtsanwalt XXXX vom 15.05.2020 (siehe Punkt I.3), ./7 – Beschwerde des BF an die bB vom 25.06.2020 – Beilage – Ablehnung des Löschungsantrages durch den MB vom 16.06.2020 (siehe Punkt I.4), ./8 – Auftrag der bB an den BF zur Verbesserung der Beschwerde vom 06.07.2020, übermittelt per E-Mail am 28.07.2020 (siehe Punkt I.6), ./9 – Verbesserung des BF vom 10.08.2020 (siehe Punkt I.6), ./10 – Mitteilung der bB vom 21.08.2020 (siehe Punkt I.6), ./11 – Aufforderung der bB zur Stellungnahme an den MB am 21.08.2020, übernommen am 14.09.2020 (siehe Punkt I.7), ./12 – Stellungnahme des MB mit Schreiben vom 22.09.2020, übermittelt mit E-Mail am 24.09.2020 (siehe Punkt I.8), ./13 – Mitteilung über die Ergebnisse des Ermittlungsverfahrens sowie Einräumung eines Parteiengehörs an den BF mit Schreiben der bB vom 06.07.2020, übermittelt per E-Mail am 07.10.2020 (siehe Punkt I.9), ./14 – Stellungnahme des BF vom 20.10.2020 (siehe Punkt I.10), ./15 – Bescheid der bB vom 02.07.2021, zugestellt per E-Mail am 06.07.2021 (siehe Punkt I.11), ./16 – Bescheidbeschwerde des BF vom 03.08.2021 (siehe Punkt I.12) und ./17 – Stellungnahme der bB im Zuge der Aktenvorlage vom 05.08.2021 (siehe Punkt I.13)] sowie in den Gerichtsakt des BVwG (Aktenbestandteile werden mit Ordnungszahl, kurz „OZ“ gekennzeichnet).

II.2.1. Zum Verfahrensgang:

Der oben angeführte Verfahrensgang ergibt sich aus dem unbedenklichen und unzweifelhaften Akteninhalt des vorgelegten Verwaltungsaktes der bB und des Gerichtsaktes des BVwG.

II.2.2. Zum Ergänzungsregister für sonstige Betroffene:

Die dahingehenden Feststellungen ergeben sich unstrittig aus dem vorgelegten Verwaltungsakt (siehe VWA ./15, Seite 3 f).

II.2.3. Zu den Eintragungen des BF im Ergänzungsregister für sonstige Betroffene:

Die dahingehenden Feststellungen ergeben sich unstrittig aus dem vorgelegten Verwaltungsakt (siehe VWA ./4 und VWA ./15, Seite 4) sowie aus der Stellungnahme des MB vom 04.10.2022 (OZ 7).

II.2.4. Zu den Eintragungen des BF im Zentralen Melderegister (ZMR):

Die Feststellung beruht auf einem amtswegig veranlassten Auszug aus dem Zentralen Melderegister (OZ 3).

II.2.5. Zu den Interessen des Beschwerdeführers:

Die dahingehende Feststellung kann zweifelsfrei aufgrund des vorgelegten Verwaltungsakts getroffen werden (siehe VWA ./1 und ./16).

II.2.6. Zu den Interessen des Mitbeteiligten:

Die dahingehende Feststellung kann zweifelsfrei aufgrund des vorgelegten Verwaltungsakts getroffen werden (siehe VWA ./13, Seite 2).

II.2.7. Zu den Rechtfertigungsgründen:

Dass für die Verarbeitung der personenbezogenen Daten keine Zustimmung des BF bzw. keine Vereinbarung zwischen dem BF und dem MB vorlag, ergibt sich aus den Erklärungen des BF in seiner Bescheidbeschwerde (VWA ./16, Seite 7). Auch ergeben sich aus dem Vorbringen des MB dahingehend keine Anhaltspunkte. Sohin war dies festzustellen.

Insgesamt konnte aus dem Vorbringen des MB bzw. des BF nicht gewonnen werden, dass die Verarbeitung aus lebenswichtigen Interessen erfolgte. Sohin war die entsprechende Feststellung zu treffen.

Der MB stützte die Datenverarbeitung ausdrücklich auf den Erlaubnistatbestand der Wahrnehmung von Aufgaben im öffentlichen Interesse gemäß Art. 6 Abs. 1 lit. e DSGVO. Weiters gab der MB an, dass die Verarbeitung der Daten des Ergänzungsregisters für sonstige Betroffene auf der gesetzlichen Grundlage des § 6 Abs. 4 E-GovG beruhe (siehe VWA ./12, Seite 2 und OZ 7, Seite 2). Sohin war dies festzustellen.

II.3. Rechtliche Beurteilung:

II.3.1. Zur Zuständigkeit:

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Dem angefochtenen Bescheid liegt eine Entscheidung der bB gemäß § 1 DSG und Art. 17 DSGVO zugrunde. Diese Angelegenheit ist gemäß § 27 DSG von Senatsentscheidungen erfasst.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I Nr. 33/2013, geregelt (§ 1 leg.cit .). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Gemäß § 28 Abs. 1 VwGVG haben die Verwaltungsgerichte die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß Abs. 2 leg.cit. hat das Verwaltungsgericht über Beschwerden nach Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn

1. der maßgebliche Sachverhalt feststeht oder

2. die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Wie oben bereits ausgeführt steht der in der Angelegenheit maßgebliche Sachverhalt aufgrund der Aktenlage fest. Das Bundesverwaltungsgericht hat daher in der Sache selbst zu entscheiden.

II.3.2. Zu Spruchpunkt A) I. und II. – Stattgabe der Beschwerde:

II.3.2.1. Zur Rechtslage im gegenständlichen Beschwerdeverfahren:

§ 2 Z 7 E-GovG – Begriffsbestimmungen – lautet:

„Betroffener“: jede natürliche Person, juristische Person sowie sonstige Personenmehrheit oder Einrichtung, der bei ihrer Teilnahme am Rechts- oder Wirtschaftsverkehr eine eigene Identität zukommt;

§ 3 Abs. 1 E-GovG – Identität und Authentizität – lautet:

Im elektronischen Verkehr mit Verantwortlichen des öffentlichen Bereichs im Sinne des Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4.5.2016 S. 1 (im Folgenden: DSGVO) in Verbindung mit § 26 Abs. 1 des Datenschutzgesetzes – DSG, BGBl. I Nr. 165/1999, dürfen Zugriffsrechte auf personenbezogene Daten (Art. 4 Z 1 DSGVO), nur eingeräumt werden, wenn die eindeutige Identität desjenigen, der zugreifen will, und die Authentizität seines Ersuchens nachgewiesen sind. Dieser Nachweis muss in elektronisch prüfbarer Form erbracht werden.

§ 4 Abs. 1 E-GovG – Die Funktion E-ID – lautet:

Der E-ID dient dem Nachweis der eindeutigen Identität, weiterer Merkmale sowie des Bestehens einer Einzelvertretungsbefugnis eines Einschreiters und der Authentizität des elektronisch gestellten Anbringens in Verfahren, für die ein Verantwortlicher des öffentlichen Bereichs eine für den Einsatz des E-ID taugliche technische Umgebung eingerichtet hat.

§ 7 Abs. 1 E-GovG – Stammzahlenregisterbehörde – lautet:

Stammzahlenregisterbehörde ist der Bundesminister für Digitalisierung und Wirtschaftsstandort.

§ 6 Abs. 1 bis 4 E-GovG – Stammzahl – i.d.g.F. lautet:

(1) Im E-ID erfolgt die eindeutige Identifikation von Betroffenen auf Basis ihrer Stammzahl.

(2) Für natürliche Personen, die im Zentralen Melderegister eingetragen sind, wird die Stammzahl durch eine mit starker Verschlüsselung gesicherte Ableitung aus ihrer ZMR-Zahl (§ 16 Abs. 1 des Meldegesetzes 1991 – MeldeG, BGBl. Nr. 9/1992) gebildet. Für alle anderen natürlichen Personen ist ihre Ordnungsnummer im Ergänzungsregister (Abs. 4) für die Ableitung der Stammzahl heranzuziehen. Die Benützung der ZMR-Zahl zur Bildung der Stammzahl ist keine Verarbeitung von personenbezogenen Daten des Zentralen Melderegisters im Sinne des § 16a MeldeG.

(3) Für Betroffene, die im Firmenbuch, im Vereinsregister oder im Ergänzungsregister (Abs. 4) eingetragen sind, ist als Stammzahl die Firmenbuchnummer (§ 3 Z 1 des Firmenbuchgesetzes, BGBl. Nr. 10/1991) oder die Vereinsregisterzahl (§ 18 Abs. 3 des Vereinsgesetzes 2002, BGBl. I Nr. 66) oder die im Ergänzungsregister vergebene Ordnungsnummer zu verwenden.

(4) Betroffene, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen, sind auf ihren Antrag oder in den Fällen des § 10 Abs. 2 auf Antrag des Verantwortlichen der Datenverarbeitung im Ergänzungsregister einzutragen. Das Ergänzungsregister wird getrennt nach natürlichen Personen und sonstigen Betroffenen geführt. Voraussetzung für die Eintragung ist bei natürlichen Personen der Nachweis der personenbezogenen Daten, die in der gemäß § 4 Abs. 8 zu erlassenden Verordnung des Bundesministers für Digitalisierung und Wirtschaftsstandort festgelegt sind, bei sonstigen Betroffenen der Nachweis ihres rechtlichen Bestandes einschließlich ihrer rechtsgültigen Bezeichnung. Zu den sonstigen Betroffenen können Handlungsvollmachten eingetragen werden. Bei welchen Stellen der Nachweis von personenbezogenen Daten für die Eintragung in das Ergänzungsregister erbracht werden kann, ist in der gemäß § 4 Abs. 8 zu erlassenden Verordnung des Bundesministers für Digitalisierung und Wirtschaftsstandort zu regeln. In dieser Verordnung kann weiters geregelt werden, inwieweit ein Kostenersatz für die Eintragung zu leisten ist.

§ 6 Abs. 1 bis 4 E-GovG – Stammzahl – BGBl. I. Nr. 119/2022 vom 27.07.2022 lautet (Regelung tritt gemäß § 24 Abs. 10 E-GovG ein Jahr nach dem Tag der Kundmachung in Kraft):

(1) Im E-ID erfolgt die eindeutige Identifikation von Betroffenen auf Basis ihrer Stammzahl.

(3) Unbeschadet des Vorhandenseins einer Stammzahl gemäß Abs. 2 ist als Stammzahl für Betroffene

1. die im Firmenbuch, eingetragen sind, die Firmenbuchnummer (§ 3 Abs. 1 Z 1 des Firmenbuchgesetzes, BGBl. Nr. 10/1991),

2. die im Zentralen Vereinsregister eingetragen sind, die Vereinsregisterzahl (§ 18 Abs. 2 des Vereinsgesetzes 2002, BGBl. I Nr. 66/2002),

3. die ein Unternehmen im Sinne des § 3 Z 20 des Bundesstatistikgesetz 2000, BGBl. I Nr. 163/1999, sind, und

a) Einkünfte gemäß des § 2 Abs. 3 Z 1 bis 3 und 6 des Einkommensteuergesetzes 1988 – EStG 1988, BGBl. Nr. 400/1988, erzielen,

b) keine Gebietskörperschaften oder andere Körperschaften oder Anstalten des öffentlichen Rechts sind sowie

c) nicht im Firmenbuch oder im Zentralen Vereinsregister eingetragen sind,

die für sie vergebene Global Location Number (GLN),

4. die ein im land- und forstwirtschaftliches Betriebsinformationssystem (LFBIS) gemäß des § 1 Abs. 1 LFBIS-Gesetz, BGBl. Nr. 448/1980, zu erfassender land- und forstwirtschaftlicher Betrieb sind, und nicht unter Z 1 bis 3 fallen, die für sie vergebene GLN,

5. die die Gründung eines Unternehmens im Sinne des § 3 Z 20 Bundesstatistikgesetz 2000 über ein elektronisches Verfahren begonnen haben und nicht unter Z 1 bis 4 fallen, die für sie vergebene GLN,

6. die im Ergänzungsregister für sonstige Betroffene (Abs. 4) eingetragen sind, die im Ergänzungsregister vergebene Ordnungsnummerzu verwenden

(3a) Die GLN wird für jeden Betroffenen einmalig für die Dauer seines Bestehens als Betroffener iSd Abs. 3 Z 3 bis 5 vergeben. Ihre Vergabe erfolgt im Fall der Abs. 3 Z 3 im Auftrag der Finanzbehörden des Bundes, im Fall der Abs. 3 Z 4 im Auftrag des für Landwirtschaft, Regionen und Tourismus zuständigen Bundesministers sowie im Fall der Abs. 3 Z 5 im Auftrag des Betreibers des Unternehmensserviceportals (USP) jeweils durch die Bundesanstalt „Statistik Österreich“ im Rahmen der Eintragung in das Unternehmensregister gemäß des § 25 Bundesstatistikgesetz 2000. Tritt an die Stelle des Anlasses der Eintragung ein anderer Anlass iSd Abs. 3 Z 3 bis 5 bleibt die vergebene GLN als Identifikationsmerkmal dieses Betroffenen erhalten und es ist keine neue GLN zu vergeben. Wenn es sich bei einem Betroffenen iSd Abs. 3 Z 1 oder 3 bis 6 um eine natürliche Person handelt, ist die Firmenbuchnummer, GLN oder Ordnungsnummer nur soweit zu verwenden als seine Identität als in das Firmenbuch eingetragener Einzelunternehmer, Unternehmen gemäß des § 3 Z 20 Bundesstatistikgesetz 2000, land- und forstwirtschaftlicher Betrieb, die Identität dieser natürlichen Person in Bezug auf ein begonnenes elektronisches Verfahren zur Gründung eines Unternehmens im Sinne des § 3 Z 20 Bundesstatistikgesetz 2000 oder seine Eigenschaft als sonstiger Betroffener betroffen ist.

(4) Das Ergänzungsregister wird getrennt nach natürlichen Personen und sonstigen Betroffenen geführt. Unbeschadet des Abs. 3 sind im Ergänzungsregister für natürliche Personen auf Antrag des jeweiligen Betroffenen oder in den Fällen des § 10 Abs. 2 auf Antrag des Verantwortlichen der Datenverarbeitung natürliche Personen einzutragen, die nicht im Zentralen Melderegister eingetragen sind. In das Ergänzungsregister für sonstige Betroffene sind auf Antrag des jeweiligen Betroffenen oder in den Fällen des § 10 Abs. 2 auf Antrag des Verantwortlichen der Datenverarbeitung einzutragen:

1. Gebietskörperschaften und andere Körperschaften oder Anstalten des öffentlichen Rechts sowie

2. sonstige Betroffene, für die keine Stammzahl gemäß Abs. 3 Z 1 bis 5 zu bilden ist und sofern es sich bei diesen um natürliche Personen handelt nur im Hinblick auf ihre Eigenschaft als sonstiger Betroffener (§ 2 Z 7).

Voraussetzung für die Eintragung ist der Nachweis der Daten, die in Abs. 7 und der gemäß Abs. 7 zu erlassenden Verordnung des Bundesministers für Digitalisierung und Wirtschaftsstandort festgelegt sind. Zu den sonstigen Betroffenen können Handlungsvollmachten eingetragen werden.

§ 6b E-GovG – Ergänzungsregister für sonstige Betroffene – BGBl. I 119/2022 vom 27.07.2022 lautet (Regelung tritt gemäß § 24 Abs. 10 E-GovG ein Jahr nach dem Tag der Kundmachung in Kraft):

(1) Das Ergänzungsregister für sonstige Betroffene (ERsB) dient dem Nachweis der eindeutigen Identität Betroffener im Sinne des § 2 Z 7 und dokumentiert bereits bestehende Vollmachtsverhältnisse in elektronischer Form. Eintragungen ins ERsB haben keine konstitutive Wirkung.

(2) Die Führung des ERsB ist Aufgabe der Stammzahlenregisterbehörde. Die Eintragung in das Register erfolgt durch die Stammzahlenregisterbehörde oder durch eine Institution, die unmittelbar durch Gesetz, Verordnung oder völkerrechtlichen Vertrag eingerichtet ist oder der dadurch Rechtspersönlichkeit zuerkannt wurde, für

1. sich,

2. ihre Teilorganisationen,

3. die ihrer gesetzlichen Aufsicht unterliegenden Organisationen,

4. Betroffene, soweit die Institution durch Gesetz oder Verordnung dazu ermächtigt wurde.

Die Stammzahlenregisterbehörde und die in dieser Bestimmung genannten Institutionen sind als gemeinsam Verantwortliche gemäß Art. 4 Z 7 in Verbindung mit Art. 26 Abs. 1 DSGVO ermächtigt, die personenbezogenen Daten im ERsB gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten Zugriff hat, die von den anderen Verantwortlichen zur Verfügung gestellt wurden. Die Erfüllung von Informations-, Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Pflichten nach den Bestimmungen der DSGVO gegenüber dem Betroffenen obliegt der Stammzahlenregisterbehörde.

(3) Das ERsB ist in Bezug auf Betroffene, die keine natürlichen Personen sind und ausschließlich in Bezug auf die Vor- und Nachnamen ihrer vertretungsbefugten natürlichen Personen hinsichtlich des aktuellen Datenbestands als öffentliches Register zu führen, das von der Stammzahlenregisterbehörde im Internet verfügbar gehalten wird.

(4) Die Stammzahlenregisterbehörde hat Eintragungen, zu denen ihr Änderungen bekannt werden, richtig zu stellen oder inaktiv zu setzen. Ersetzte oder inaktive Eintragungen sind unverzüglich zu löschen, sobald diese für die in diesem Bundesgesetz angeführten Zwecke nicht mehr benötigt werden, spätestens jedoch nach Ablauf von dreißig Jahren.

(5) Die Stammzahlenregisterbehörde hat auf Verlangen jeder Person einen mit einer Amtssignatur (§ 19 E-GovG) versehenen Auszug der aktuellen Daten aus dem Register elektronisch auszustellen. Dazu hat die Stammzahlenregisterbehörde ein Webformular und soweit zweckmäßig eine Schnittstelle zur Verfügung zu stellen. Bei Registerabfragen und auf Auszügen aus dem Register ist die Eintragungsstelle klar ersichtlich zu machen und ein Hinweis aufzunehmen, dass der Eintrag im ERsB nicht konstitutiv ist

§§ 1 sowie 10 bis 14 der Verordnung des Bundeskanzlers über das Ergänzungsregister (Ergänzungsregisterverordnung – ERegV 2009), betreffend Ergänzungsregister für sonstige Betroffene (ERsB), BGBl. II. Nr. 331/2009 lauten:

Präambel/Promulgationsklausel: Auf Grund des 2. bis 4. Abschnitts, insbesondere § 6 Abs. 4, des E Government-Gesetzes – E-GovG, BGBl. I Nr. 10/2004, in der Fassung des Bundesgesetzes BGBl. I Nr. 7/2008 und der Kundmachung BGBl. I Nr. 59/2008, und des Datenschutzgesetzes 2000 – DSG 2000, BGBl. I Nr. 165/1999, zuletzt geändert durch das Bundesgesetz BGBl. I Nr. 2/2008, wird im Einvernehmen mit der Bundesministerin für Inneres und dem Bundesminister für Finanzen verordnet:

§ 1 ERegV 2009 – Führung eines Registers – lautet:

Die Stammzahlenregisterbehörde führt das Ergänzungsregister für Betroffene (§ 2 Z 7 des E-Government-Gesetzes – E-GovG, BGBl. I Nr. 10/2004, in der Fassung des Bundesgesetzes BGBl. I Nr. 7/2008 und der Kundmachung BGBl. I Nr. 59/2008), die weder im Zentralen Melderegister (ZMR) eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen. Betroffene natürliche Personen werden im Ergänzungsregister für natürliche Personen (ERnP) geführt, alle anderen Betroffenen werden im Ergänzungsregister für sonstige Betroffene (ERsB) geführt.

§ 10 ERegV 2009 – Eintragung – lautet:

(1) Eine Eintragung in das ERsB darf nur erfolgen

1. auf Antrag der bzw. des Betroffenen,

2. auf Ersuchen einer Institution, die unmittelbar durch Gesetz oder Verordnung eingerichtet ist, für

a) sich,

b) ihre Teilorganisationen,

c) die ihrer gesetzlichen Aufsicht unterliegenden Organisationen,

d) Betroffene, soweit die Institution durch Gesetz oder Verordnung dazu ermächtigt wurde, sowie

3. auf Ersuchen eines Auftraggebers des öffentlichen Bereichs im Zuge der Ausstattung einer Datenanwendung mit Stammzahlen (§ 2 Z 8 E-GovG), sowie

4. zur Vornahme von Änderungen.

(2) Ein Antrag oder Ersuchen gemäß Abs. 1 kann bei der Stammzahlenregisterbehörde oder bei einem dafür von ihr vorgesehenen Dienstleister gestellt werden. Die Stammzahlenregisterbehörde hat im Internet eine Liste dieser Dienstleister sowie Informationen zur Einbringung des Antrags zu veröffentlichen. Die Eintragung im ERsB erfolgt durch die Stammzahlenregisterbehörde.

§ 11 ERegV 2009 – Eintragungsdaten – lautet:

(1) Als Eintragungsdaten sind bei einer Eintragung gemäß § 10 Abs. 1 Z 1 und 2 folgende Daten zu erfassen:

1. die rechtsgültige Bezeichnung der bzw. des Betroffenen,

2. Angaben über die Rechts- oder Organisationsform,

3. Anschrift und Sitz,

4. soweit vorhanden Angaben über den Bestandszeitraum, und

5. soweit vorhanden Angaben über die eindeutige Identität (§ 2 Z 2 E-GovG) der Personen, die für die Betroffene bzw. den Betroffenen vertretungsbefugt sind, sowie über den Umfang der Vertretungsbefugnis.

(2) Die Eintragungsdaten gemäß Abs. 1 sind, ausgenommen im Fall des § 10 Abs. 1 Z 3, durch geeignete Urkunden oder Nachweise zu belegen.

§ 12 ERegV 2009 – Eintragung und Registerinhalt – lautet:

(1) Für jede Betroffene bzw. jeden Betroffenen, die bzw. der in das ERsB eingetragen wird, ist ein Datensatz zu speichern, der die jeweiligen Eintragungsdaten, die internen Verfahrensdaten sowie die ON enthält, die die Betroffene bzw. den Betroffenen eindeutig bezeichnet.

(2) Zur eindeutigen Identifikation der für Betroffene vertretungsbefugten natürlichen Personen ist deren bPK zu speichern.

(3) Soweit die Eintragungsdaten auf Angaben Betroffener beruhen, tragen diese die Verantwortung für ihre Richtigkeit.

(4) Eintragungen im ERsB haben keine rechtlich konstitutive Wirkung.

(5) Für Anträge und Ersuchen auf Eintragung oder Änderung des Registerinhaltes hat die Stammzahlenregisterbehörde ein Webformular und soweit zweckmäßig eine Schnittstelle zur Verfügung zu stellen.

§ 13 ERegV 2009 – Änderungen des Registerinhaltes – lautet:

(1) Im ERsB eingetragene Betroffene, die aufgrund eines Antrages gemäß § 10 Abs. 1 Z 1 eingetragen sind, haben Änderungen der Eintragungsdaten zu melden.

(2) Auftraggeber des öffentlichen Bereichs können die ihnen zur Kenntnis gelangten Änderungen der Eintragungsdaten der Stammzahlregisterbehörde melden. Für das Verfahren dieser Meldung gilt § 10 sinngemäß.

(3) Die Berichtigung der Eintragungsdaten hat von Amts wegen zu erfolgen, wenn die Stammzahlenregisterbehörde Tatsachen erfährt, die die Unrichtigkeit oder Unzulässigkeit von Eintragungen bewirken.

§ 14 ERegV 2009 – Verwendung des Registerinhaltes – lautet:

(1) Das ERsB dient dem Nachweis der eindeutigen Identität Betroffener und macht bereits bestehende Vollmachtsverhältnisse elektronisch ersichtlich. Das ERsB ist als öffentliches Register zu führen, das von der Stammzahlenregisterbehörde im Internet verfügbar gehalten wird.

(2) Die Stammzahlenregisterbehörde hat auf Verlangen jeder Person einen mit einer Amtssignatur (§ 19 E-GovG) versehenen Auszug aus dem Register betreffend die Eintragungen über eine bestimmte Betroffene bzw. einen bestimmten Betroffenen elektronisch auszustellen. Dazu hat die Stammzahlenregisterbehörde ein Webformular und soweit zweckmäßig eine Schnittstelle zur Verfügung zu stellen.

(3) Bei Registerabfragen und auf Auszügen aus dem Register gemäß Abs. 2 ist ein Hinweis aufzunehmen, dass der Eintrag im ERsB gemäß § 12 Abs. 4 nicht konstitutiv ist.

§ 14 Verordnung des Bundeskanzlers über das Ergänzungsregister (Ergänzungsregisterverordnung – ERegV 2009), BGBl. II. Nr. 331/2009, idF BGBl. II. 317/2020 – Verwendung des Registerinhaltes – lautet:

Das ERsB dient dem Nachweis der eindeutigen Identität Betroffener und macht bereits bestehende Vollmachtsverhältnisse elektronisch ersichtlich.

§§ 9 bis 13 der Verordnung des Bundesministers für Digitalisierung und Wirtschaftsstandort über das Ergänzungsregister (Ergänzungsregisterverordnung 2022 – ERegV 2022) betreffend Ergänzungsregister für sonstige Betroffene (ERsB), BGBl. II Nr. 241/2022 lauten:

Präambel/Promulgationsklausel: Auf Grund des 2. bis 4. Abschnitts, insbesondere § 6 Abs. 4 des E-Government-Gesetzes – E-GovG, BGBl. I Nr. 10/2004, zuletzt geändert durch das Bundesgesetzes BGBl. I Nr. 169/2020, wird hinsichtlich des 1. und 3. Abschnitts im Einvernehmen mit dem Bundesminister für Inneres und hinsichtlich des 2. und 3. Abschnitts im Einvernehmen mit dem Bundesminister für Finanzen verordnet:

§ 9 ERegV 2022 – Eintragung – lautet:

(1) Eine Eintragung in das ERsB darf nur erfolgen

1. auf Antrag der oder des Betroffenen,

2. auf Ersuchen einer Institution, die unmittelbar durch Gesetz, Verordnung oder völkerrechtlichen Vertrag eingerichtet ist oder der dadurch Rechtspersönlichkeit zuerkannt wurde, für

a) sich,

b) ihre Teilorganisationen,

c) die ihrer gesetzlichen Aufsicht unterliegenden Organisationen oder

d) Betroffene, soweit die Institution durch Gesetz oder Verordnung dazu ermächtigt wurde,

3. auf Ersuchen eines Verantwortlichen des öffentlichen Bereichs im Zuge der Ausstattung einer Datenverarbeitung mit Stammzahlen (§ 2 Z 8 E-GovG),

4. bei der Verwendung eines elektronischen Identifizierungsmittels eines anderen Mitgliedstaates der Europäischen Union gemäß § 6 Abs. 5 E-GovG oder

5. zur Vornahme von Änderungen.

(2) Ein Antrag oder Ersuchen gemäß Abs. 1 Z 1 bis 3 kann bei der Stammzahlenregisterbehörde oder bei einem dafür von ihr vorgesehenen Auftragsverarbeiter gestellt werden. Die Eintragung im ERsB erfolgt durch die Stammzahlenregisterbehörde oder – soweit dies gesetzlich vorgesehen ist – unmittelbar durch eine Institution im Sinne des Abs. 1 Z 2.

§ 10 ERegV 2022 – Eintragungsdaten – lautet:

(1) Als Eintragungsdaten sind bei einer Eintragung gemäß § 9 Abs. 1 Z 1 bis 3 folgende Daten zu erfassen:

1. die Bezeichnung der oder des Betroffenen,

2. Angaben über die Rechts- oder Organisationsform,

3. Anschrift und Sitz,

4. soweit vorhanden Angaben über den Bestandszeitraum und

5. soweit Personen, die für die Betroffene oder den Betroffenen vertretungsbefugt sind, eingetragen werden sollen, Angaben über ihre eindeutige Identität (§ 2 Z 2 E-GovG) sowie über den Umfang ihrer Vertretungsbefugnis.

(2) Bei einer Eintragung gemäß § 9 Abs. 1 Z 4 sind die Daten gemäß Abs. 1 Z 1 und die eindeutigen Kennungen, die vom übermittelnden Mitgliedstaat entsprechend den technischen Spezifikationen für die Zwecke der grenzüberschreitenden Identifizierung zur Verfügung gestellt wurden und, soweit vorhanden, auch die Daten gemäß Abs. 1 Z 2 bis 4 und die in Z 2 UAbs. 2 lit. b bis g des Anhangs der Durchführungsverordnung (EU) Nr. 1501/2015 über den Interoperabilitätsrahmen gemäß Art. 12 Abs. 8 eIDAS-Verordnung, ABl. Nr. L 235 vom 9. 9.2015 S. 1, genannten zusätzlichen Merkmale einzutragen. Eintragungen gemäß § 9 Abs. 1 Z 4 sind nicht vor dem Vorliegen der technischen und organisatorischen Voraussetzungen zulässig.

(3) Die Eintragungsdaten gemäß Abs. 1 sind, ausgenommen im Fall des § 9 Abs. 1 Z 3, durch geeignete Urkunden oder Nachweise zu belegen.

§ 11 ERegV 2022 – Registerinhalt – lautet:

(1) Für jede Betroffene oder jeden Betroffenen, die oder der in das ERsB eingetragen wird, ist ein Datensatz zu speichern, der die jeweiligen Eintragungsdaten, die internen Verfahrensdaten sowie die ON enthält, die die Betroffene oder den Betroffenen eindeutig bezeichnet.

(2) Zur eindeutigen Identifikation der für Betroffene vertretungsbefugten natürlichen Personen ist deren bPK WT-UR zu speichern.

(3) Soweit die Eintragungsdaten auf Angaben Betroffener beruhen, tragen diese die Verantwortung für ihre Richtigkeit.

(4) Eintragungen im ERsB haben keine rechtlich konstitutive Wirkung.

§ 12 ERegV 2022 – Änderungen des Registerinhaltes – lautet:

(1) Im ERsB eingetragene Betroffene, die aufgrund eines Antrages gemäß § 9 Abs. 1 Z 1 eingetragen sind, haben Änderungen der Eintragungsdaten der Stammzahlenregisterbehörde zu melden.

(2) Verantwortliche des öffentlichen Bereichs können die ihnen zur Kenntnis gelangten Änderungen der Eintragungsdaten der Stammzahlregisterbehörde melden.

§ 1 DSG – Grundrecht auf Datenschutz – lautet auszugsweise:

(1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

[…]

Art. 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten – lautet:

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Art. 6 DSGVO – Rechtmäßigkeit der Verarbeitung – lautet:

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche — um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist — unter anderem

a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,

b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,

c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,

d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.

Art. 17 DSGVO – Recht auf Löschung („Recht auf Vergessenwerden“) – lautet:

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

ErlRV 252 BlgNr XXII. GP , 9:

Das Stammzahlenregister der natürlichen Personen ist nur ein virtuelles Register, dessen Einträge nur jeweils im Bedarfsfall kurz zum Zweck der Errechnung erzeugt und sodann sofort wieder gelöscht werden. Für andere Betroffene ist es hingegen auf Dauer eingerichtet, und zwar in Form des Firmenbuches, des Zentralen Vereinsregisters und des Ergänzungsregisters für nicht-natürliche Personen.

ErlRV 290 BlgNr XXIII. GP , 4 lautet:

Bisher wurde für die Eintragung in das Ergänzungsregister für natürliche Personen darauf abgestellt, dass der Betroffene keiner Meldepflicht nach dem MeldeG 1991 unterliegt. Diese Bestimmung hat in der Praxis immer wieder zu Schwierigkeiten geführt. Insbesondere bei Antragstellung durch den Betroffenen auf Ausstellung einer Bürgerkarte war für die Bürgerkarten-Registrierungsstellen unklar, ob diese eine Beurteilung über die Meldepflicht des Antragstellers trifft. Daher soll bei Betroffenen, die natürliche Personen sind, auf das Faktum der Eintragung in das Zentrale Melderegister abgestellt werden. Bei anderen Betroffenen soll weiterhin darauf abgestellt werden, ob diese weder im Firmenbuch noch im Vereinsregister eingetragen sein müssen. Auch unklar in der Vergangenheit war, welche Daten für eine Eintragung in das Ergänzungsregister für natürliche Personen nötig sind. Im Gesetz soll nun klargestellt werden, dass die in den Begriffsbestimmungen des § 1 Abs. 5a MeldeG 1991 – mit Ausnahme der Melderegisterzahl – enthaltenen Daten nur für die Ausstellung einer Bürgerkarte notwendig sind. Für die bloße Eintragung in das Ergänzungsregister für natürliche Personen reichen jene Daten aus, die in der Verordnung des Bundeskanzlers kundgemacht werden.

ErlRV 1443 BlGMr XXVII. GP, 1 ff lautet:

Das E-GovG und die Ergänzungsregisterverordnung regeln seit der Stammfassung im Jahr 2004 ein Ergänzungsregister für natürliche Personen (ERnP), die nicht im ZMR eingetragen sind und ein Ergänzungsregister für nicht natürliche Personen bzw. sonstige Betroffene (ERsB; zum Begriff des „Betroffenen“ in diesem Zusammenhang siehe weiter unten), die weder im Firmenbuch noch im Zentralen Vereinsregister eingetragen sind. Das Ergänzungsregister führt die Stammzahlenregisterbehörde (SZRB) und kann sich dabei hinsichtlich des technischen Betriebs eines gesetzlichen Dienstleisters bedienen. Für das ERnP ist dies der Bundesminister für Inneres, für das ERsB ist wegen der Synergie zum Unternehmensregister für Verwaltungszwecke (URV) gemäß des § 25 Bundesstatistikgesetz 2000 die Bundesanstalt „Statistik Österreich“ gesetzlich beauftragt.

Das Ergänzungsregister ist Bestandteil des Identitätsmanagements im österreichischen E-Government und wird wie bereits ausgeführt getrennt nach natürlichen Personen (ERnP) und sonstigen Betroffenen (ERsB) geführt. Im E-Government ist eine Differenzierung beim Begriff „Identität“ sowie beim Betroffenenbegriff von großer Bedeutung, da die eindeutige Unterscheidbarkeit der Betroffenen eine notwendige Voraussetzung für die inhaltliche Richtigkeit der E-Government-Anwendungen ist. Seit der Stammfassung aus dem Jahr 2004 handelt es sich bei einem „Betroffenen“ gemäß § 2 Z 7 E-GovG um „jede natürliche Person, juristische Person sowie sonstige Personenmehrheit oder Einrichtung, der bei ihrer Teilnahme am Rechts- oder Wirtschaftsverkehr eine eigene Identität zukommt“. Weder ist es daher notwendig, dass ein Betroffener, der keine natürliche Person ist, über eine eigene Rechtspersönlichkeit verfügen muss, noch ist es ein Widerspruch, einer natürlichen Person neben ihrer Eigenschaft als natürliche Person etwa in ihrer Rolle als „Unternehmen“ (siehe dazu unten) zusätzlich auch die Eigenschaft einer „Einrichtung“ im Sinne des Betroffenenbegriffs zuzuerkennen, wenn sie in dieser eigenständigen Rolle agiert und so am Rechts- oder Wirtschaftsverkehr teilnimmt. Insofern besteht ein berechtigtes Interesse, in elektronischen Verfahren unverwechselbar unterscheiden zu können, ob eine natürliche Person in „Privatangelegenheiten“ agiert oder dabei unternehmerisch tätig ist. Nachdem dieser seit der Stammfassung des E-GovG 2004 bestehende Hintergrund vor allem in den letzten Monaten zu Missverständnissen bei Betroffenen geführt hat, soll mit dem vorliegenden Vorschlag auch eine diesbezügliche ausdrückliche Klarstellung im E-GovG vorgenommen werden.

Von 2004 bis Ende 2018 war die Datenschutzkommission bzw. (seit 1.1.2014) die Datenschutzbehörde (DSB) die zuständige Stammzahlenregisterbehörde (SZRB) und daher für das ERsB und dessen Betrieb verantwortlich. Mit 28.12.2018 gingen alle Aufgaben der SZRB auf die Bundesministerin für Digitalisierung und Wirtschaftsstandort über, die diese – insb. die Führung der Ergänzungsregister – im Sinne der bestehenden Verwaltungspraxis der DSB unverändert fortführte.

In das ERsB werden grundsätzlich Daten zu sonstigen Betroffen auf Antrag von Betroffenen selbst oder durch eine so genannte „Ausstattung“ einer Anwendung eines Verantwortlichen des öffentlichen Bereichs (vgl. §10 Abs. 2 E-GovG) eingetragen. Der einer Eintragung zugrundeliegende Unternehmensbegriff iSd Bundesstatistikgesetz 2000 ist weit gefasst und umfasst Unternehmen, insb. auch natürliche Personen (zB freie Dienstnehmer, freiberuflich Tätige, Einzelunternehmer), juristische Personen, Personengesellschaften, Personengemeinschaften und Personenvereinigungen mit Einkünften aus Land- und Forstwirtschaft, selbständiger Tätigkeit, aus Gewerbebetrieb oder Vermietung und Verpachtung.

Im Rahmen der Abwicklung der 1. Phase des Covid-19-Härtefallfonds hatten die Antragsteller im Antragsformular verpflichtend die Kennziffer des Unternehmensregisters (KUR) oder die Global Location Number (GLN) zu ihrem Unternehmen anzugeben. Da diese Informationen über das öffentliche einsehbare ERsB unter ersb.gv.at zu jedem Eintrag abrufbar waren, kam es in der Anfangsphase des Härtefallfonds punktuell zu Spitzen von mehreren Tausend Abfragen des ERsB täglich. Da die Datenarten im ERsB neben dem Identifikationsmerkmal Ordnungsnummer (ON) des ERsB, dem Bestandszeitraum, der rechtsgültigen Bezeichnung und der Rechts- oder Organisationsform einer Einheit auch die Anschrift und Sitz sowie vertretungsbefugte natürlichen Personen und deren Geburts- und Adressdaten umfassen, entstand eine kritische öffentliche Diskussion über die Möglichkeit der öffentlichen Abrufbarkeit dieser personenbezogenen Daten, die seit Betriebsaufnahme des ERsB ausdrücklich in der Ergänzungsregisterverordnung vorgesehen war.

Da das BMDW die Kritik sehr ernst nahm, wurde zur Verhinderung eines allfälligen Missbrauchs der einsehbaren Daten infolge der medialen Diskussion die Website unverzüglich vom Netz genommen und mit der Novelle der ERegV 2009, BGBl. II Nr. 317/2020, geregelt, dass das ERsB nicht mehr öffentlich zu führen ist. Die Abfrage des ERsB über die Website www.ersb.gv.at ist daher nicht mehr möglich. Unternehmen, die das Unternehmensserviceportal (www.usp.gv.at ) nutzen, können darüber ihre eigene KUR bzw. GLN erfahren.

Zudem wurde eine eigene Taskforce zum ERsB unter Einbeziehung von Datenschutzexperten eingerichtet. Auf Basis der Ergebnisse der ERsB Taskforce wurde nun ein Vorschlag für eine Novelle des E-GovG erarbeitet, mit der das ERsB unter Beibehaltung des Rollenkonzepts im Identitätsmanagment des E-GovG, das zwischen natürlichen Personen (in ihrer Eigenschaft als ebensolche) und sonstigen Betroffenen (die auch natürliche Personen sein können, aber denen in der Eigenschaft als zB Unternehmen eine eigenständige Identität im Rechts- oder Wirtschaftsverkehr zukommt) unterscheidet, neu geregelt und die datenschutzrechtliche Verantwortlichkeit klargestellt werden soll. Beide Themen, nämlich die Beibehaltung des rollenbezogenen Identitätsmanagment und Sicherstellung der Verantwortungsklarheit im Hinblick auf die datenschutzrechtliche Rollenverteilung, sind ausdrücklich in den Empfehlungen der ERsB Taskforce genannt und wurden in der vorliegenden Novelle berücksichtigt. Künftig werden daher insb. Unternehmen (dies umfasst auch natürliche Personen, die unternehmerisch tätig sind), die steuerliche Einkünfte erzielen, nicht mehr in das (öffentliche) ERsB eingetragen, sondern seitens der Finanzbehörden des Bundes direkt an das (nicht öffentliche) URV gemeldet. Ähnliche Abgrenzungen wurden zu anderen eindeutig bestimmten „Einrichtungen“ vorgenommen (etwa Land- und Forstwirtschaftliche Betriebe, etc.). Das bedeutet, dass für diese Einheiten kein zusätzlicher Eintrag im ERsB für Zwecke der Bildung einer Stammzahl mehr erzeugt werden muss und somit die Datenhoheit und Verantwortlichkeit immer bei jener Stelle verbleibt, bei der die Daten ursprünglich erfasst wurden. Eine „Duplizierung“ der Datensätze im ERsB und Unklarheiten hinsichtlich der datenschutzrechtlichen Rollenverteilung können damit beseitigt werden. Die Sorgfaltspflicht und die Einhaltung der datenschutzrechtlichen Betroffenenrechte für die Datenverarbeitung liegt (und verbleibt) somit beim jeweiligen Verantwortlichen im Sinne der DSGVO.

Im ERsB verbleiben nunmehr also neben einigen Sonderfällen und ausländischen Unternehmen lediglich die Einträge zu den Körperschaften öffentlichen Rechts. Vor diesem Hintergrund und im Lichte der nun vorgesehenen neuen Gesamtarchitektur sind auch die weiteren Empfehlungen der Taskforce in die Neukonzeption eingeflossen bzw. wurden diese zum Teil obsolet. So erscheinen etwa die Einrichtung einer „zentralen Anlaufstelle“ oder ein „standardisierter Clearingprozess“ wie es die Taskforce hinsichtlich des „alten“ Datenbestands des ERsB empfohlen hat, durch diese Neuregelung für das ERsB nicht mehr erforderlich. Diese Aufgaben übernimmmt für den im ERsB verbleibenden Datenbestand künftig weiterhin die Stammzahlenregisterbehörde, die für diese Anfragen bereits jetzt Online Formulare und eine elektronische Kontaktadresse im Internet zur Verfügung gestellt hat. Gebietskörperschaften haben außerdem die Möglichkeit, die Einträge im ERsB für sich selbst und ihre nachgeordneten Stellen selbständig anzupassen. Hinsichtlich der nicht mehr dem ERsB zuzuordnenden Daten verbleibt die Verantwortlichkeit – wie ausgeführt – bei den jeweiligen Verantwortlichen, sodass dazu kein zusätzlicher Regelungsbedarf besteht. Darüber hinaus gibt es wie bisher die Möglichkeit, potentielle Doppeleintragungen im URV direkt über die Statistik Austria zu klären.

Damit kann auch, unter Einhaltung neu einzuführender datenschutzrechtlichen Beschränkungen, wieder eine öffentliche Abfrage des ERsB ermöglicht werden. Im Sinne der Empfehlung der ERsB Taskforce ist der Zugang in Bezug auf natürliche Personen allerdings künftig nicht mehr öffentlich bzw. stark eingeschränkt. So sollen insb. keine Geburts- oder Adressdaten von vertretungsbefugten natürlichen Personen veröffentlicht werden. Alle anderen Betroffenen können – wie auch bereits jetzt schon möglich – ihre Stammzahl samt den Stammdaten über das USP abfragen. Aufgrund der vorgeschlagenen Änderung der Systematik des ERsB und der nur noch eingeschränkten öffentlichen Abfrage erscheint es ratsam, wenn auch öffentliche Stellen (zB Förderstellen) ihre Praxis entsprechend anpassen, indem sie die Stammzahl selbst im Unternehmensregister für Verwaltungszwecke, auf das grundsätzlich jede Behörde zugreifen kann, abfragen und nicht mehr alle Daten von den Antragstellern einfordern sollten. Dies wäre grundsätzlich zwar bereits heute im Sinne des „Once Only“ Prinzips schon geboten (vgl. auch § 17 Abs. 2 E-GovG) entspricht aber in vielen Bereichen noch nicht der gelebten Praxis.

[…]

II.3.2.2. Für die gegenständliche Beschwerdesache wird auf folgende einschlägige höchstgerichtliche Rechtsprechung verwiesen:

Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01 (Österreichischer Rundfunk ua), Rn 65; 16.12.2008, C-524/06 (Huber), Rn 48).

Für die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten enthält Art. 6 Abs. 1 DSGVO eine erschöpfende und abschließende Liste von sechs Fällen (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 90).

Die Verarbeitung von Daten in Ausübung öffentlicher Gewalt ist gemäß Art 6. Abs. 1 lit. e nur dann rechtmäßig, wenn sie für die jeweilige Aufgabe erforderlich ist (zur Vorgängerbestimmung Art. 7 lit. e DS-RL: EuGH 16.12.2008, C-524/06 (Huber), Rn 66).

Ein Verstoß gegen Art. 6 DSGVO kann zu einer Verletzung des § 1 Abs. 1 DSG führen. Die Voraussetzungen für die Zulässigkeit eines Eingriffs in das Grundrecht auf Datenschutz durch eine staatliche Stelle sind: (1) Er muss zur Wahrung überwiegender berechtigter Interessen eines anderen erfolgen (Interessenabwägung). (2) Er darf nur auf Grund von Gesetzen erfolgen, die aus den in Art 8 Abs 2 EMRK genannten Gründen notwendig sind (materieller Gesetzesvorbehalt). (3) Der Eingriff in das Grundrecht darf jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden (gelindestes Mittel – siehe VfGH 01.10.2013, G 2/2013). (4) Nach der ständiger Rechtsprechung (VfGH 01.10.2013, G 2/2013) muss ein Eingriffsgesetz zudem dem Bestimmtheitsgebot entsprechen (siehe Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG) § 1 (Stand 1.1.2020, rdb.at), Rn 51 sowie Jahnel, Verfassungsrechtliche Fragen der elektronischen Gesundheitsakte [ELGA] in FS Stolzlechner [2014], 309 [313] mwN).

II.3.2.3. Vor diesem Hintergrund ergibt sich für die Beschwerdesache Folgendes:

Die datenschutzrechtliche Verantwortlicheneigenschaft des MB ergibt sich aus § 7 Abs. 1 E-GovG iVm § 1 ERegV 2009, wonach die Stammzahlenregisterbehörde das Ergänzungsregister zu führen hat (siehe dazu auch § 6b E-GovG, i.d.F. BGBl. Nr. I 119/2022).

Das Vorbringen des MB, dass das Beschwerderecht schon präkludiert sei (VWA ./12, Seite 3), ist unzutreffend. In diesem Zusammenhang wird darauf hingewiesen, dass bei fortdauernder Verarbeitung von personenbezogenen Daten die Frist zur Erhebung einer Beschwerde wegen behaupteter Verletzung im Recht auf Geheimhaltung stets von Neuem zu laufen beginnt (OGH 29.05.2017, 6 Ob 217/16d).

In der Stellungnahme vom 24.09.2020 zieht der MB den Erlaubnistatbestand gemäß Art. 6 Abs. 1 lit. e DSGVO in Betracht (VWA ./12, Seite 2 f und OZ 7, Seite 2). Fest steht, dass eine Einwilligung des BF zur Verarbeitung nicht vorlag (Art. 6 Abs. 1 lit. a DSGVO). Auch war die Verarbeitung für die Erfüllung eines Vertrages (Art. 6 Abs. 1 lit. b DSGVO) sowie aus lebenswichtigen Interessen des BF (Art. 6 Abs. 1 lit. d DSGVO) nicht erforderlich. Art. 6 Abs. 1 lit. f DSGVO kann von Behörden als Rechtfertigung zur Verarbeitung von personenbezogenen Daten nicht herangezogen werden (Art. 6 Abs. 1, letzter Satz DSGVO).

Vor diesem Hintergrund wird in der Folge eine Rechtfertigung der Verarbeitung der personenbezogenen Daten des BF gemäß Art. 6 Abs. 1 lit. c und e DSGVO verifiziert. Dabei ist zu beachten, dass die in Art. 6 Abs. 1 lit. b bis f DSGVO vorgesehenen Rechtfertigungsgründe eng auszulegen sind, da sie dazu führen können, dass eine Verarbeitung personenbezogener Daten trotz fehlender Einwilligung der betroffenen Person rechtmäßig ist (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 93, mwH).

II.3.2.3.1. Zur Rechtmäßigkeit der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO:

Art. 6 Abs. 1 lit. c DSGVO setzt eine Verpflichtung kraft objektiven Rechts voraus. Die rechtliche Verpflichtung muss unmittelbaren Bezug zur Datenverarbeitung aufweisen und gerade die zu erfüllende Rechtspflicht begründen, also eine Verarbeitungspflicht anordnen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO (Stand 7.5.2020, rdb.at), Rn 39 f.; Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO (Stand 1.12.2020, rdb.at), Rn 42).

§ 6 Abs. 4 E-GovG (i.d.g.F) sieht vor, dass Betroffene, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen, auf ihren Antrag oder in den Fällen des § 10 Abs. 2 auf Antrag des Verantwortlichen der Datenverarbeitung im Ergänzungsregister einzutragen sind. Das Ergänzungsregister wird getrennt nach natürlichen Personen und sonstigen Betroffenen geführt. Dahingehend übereinstimmend führte § 1 ERegV 2009 aus, dass die Stammzahlenregisterbehörde das Ergänzungsregister für Betroffene führt, die weder im Zentralen Melderegister (ZMR) eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen. Betroffene natürliche Personen werden im Ergänzungsregister für natürliche Personen (ERnP) geführt, alle anderen Betroffenen werden im Ergänzungsregister für sonstige Betroffene (ERsB) geführt.

Aufgrund des eindeutigen Wortlauts ist erkennbar, dass eine Verarbeitung in einem Ergänzungsregister erst dann möglich ist, wenn der Betroffene weder im Melderegister eingetragen ist bzw. noch im Firmenbuch oder im Vereinsregister eingetragen werden muss. Im gegenständlichen Fall ist der BF im Zentralen Melderegister eingetragen (siehe Punkt II.1.4). Schon vor diesem Hintergrund scheidet eine Eintragung in ein Ergänzungsregister aus. Dies findet auch seine Deckung in den Materialen zum E-GovG: „Das Stammzahlenregister der natürlichen Personen ist nur ein virtuelles Register, dessen Einträge nur jeweils im Bedarfsfall kurz zum Zweck der Errechnung erzeugt und sodann sofort wieder gelöscht werden. Für andere Betroffene ist es hingegen auf Dauer eingerichtet, und zwar in Form des Firmenbuches, des Zentralen Vereinsregisters und des Ergänzungsregisters für nicht-natürliche Personen“ (ErlRV 252 BlgNr XXII. GP , 9). Besonders deutlich wird in ErlRV 290 BlgNr XXIII. GP , 4 hervorgehoben, wann eine Eintragung in ein Ergänzungsregister zulässig ist: „Daher soll bei Betroffenen, die natürliche Personen sind, auf das Faktum der Eintragung in das Zentrale Melderegister abgestellt werden. Bei anderen Betroffenen soll weiterhin darauf abgestellt werden, ob diese weder im Firmenbuch noch im Vereinsregister eingetragen sein müssen.“ Aus dem klaren Gesetzeswortlaut und den entsprechenden Ausführungen in den Materialien ergibt sich, dass eine Eintragung eines Betroffenen in das ERsB dann nicht mehr möglich ist, wenn eine Eintragung im Zentralen Melderegister vorliegt.

Der MB vertritt eine andere Ansicht, indem er am Betroffenenbegriff gemäß § 2 Z 7 E-GovG anknüpft. Demnach ist Betroffener jede natürliche oder juristische Person sowie sonstige Personenmehrheit oder Einrichtung, der bei ihrer Teilnahme am Rechts- oder Wirtschaftsverkehr eine eigene Identität zukommt. Zudem geht der MB auch davon aus, dass ein Mensch sowohl eine natürliche und juristische Entität besitzen und folglich mehrfach Betroffener ISd § 2 Z 7 E-GovG sein könnte. Begründet wird dies durch den Umstand, dass ein berechtigtes Interesse daran bestehe, dass in elektronischen Verfahren unverwechselbar unterschieden werden könne, ob eine natürliche Person als natürliche oder juristische Entität agiere (VWA ./12, vgl. auch Anfragebeantwortung 2016/AB XXXVII. GP, 9).

Dieser Ansicht kann aber nicht gefolgt werden. § 2 Z 7 E-GovG enthält zwar eine Legaldefinition des Begriffs „Betroffener“. Jedoch kann dieser Begriff gemäß § 2 Z 7 E-GovG aus systematischen Erwägungen nicht auf die Ergänzungsregisterverordnung übertragen werden. So ergibt sich bereits aus der Präambel/Promulgationsklausel der Ergänzungsregisterverordnungen (BGBl. II. Nr. 331/2009 bzw. auch BGBl II. Nr. 241/2022), dass diese Verordnungen insbesondere aufgrund des § 6 Abs. 4 E-GovG erlassen worden sind. § 6 Abs. 4 E-GovG enthält im Vergleich zu § 2 Z 7 E-GovG nur einen eingeschränkten Betroffenenbegriff: § 6 Abs. 4 E-GovG erfasst nur Betroffene, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen. § 2 Z 7 E-GovG beschreibt dagegen allgemein, wer als Betroffener am E-Government teilnehmen kann. § 6 Abs. 4 E-GovG erfasst nur einen kleinen Teil der Betroffenen gemäß § 2 Z 7 E-GovG und zwar solche, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen (siehe dazu auch § 1 ERegV 2009).

Vor dem Hintergrund des eingeschränkten Betroffenenkreises gemäß § 6 Abs. 4 E-GovG und der dazugehörigen ERegV 2009 ergibt sich, dass sich der bezweckte rollenbasierte Ansatz des MB (siehe Punkt I.8, sprich ob jemand in seiner privaten oder wirtschaftlichen Eigenschaft auftritt) de lega lata nicht umsetzen lässt, da eine Eintragung in ein Ergänzungsregister schon dann scheitert, sobald der Betroffene im Melderegister eingetragen ist bzw. im Firmenbuch bzw. Vereinsregister eingetragen sein muss. In diesem Zusammenhang ist zu beachten, dass der äußerst mögliche Wortsinn die Grenze jeglicher Auslegung absteckt (VwGH 29.06.2022, Ra 2020/06/0041). Zudem bestimmt § 14 Abs. 1 ERegV 2009, dass die ausschließliche Verwendung des Registers darin besteht, die Identität Betroffener eindeutig nachzuweisen und nicht festzustellen, ob jemand in seiner privaten oder wirtschaftlichen Eigenschaft auftritt. Dieser rollenbasierte Ansatz des MB geht erst aus den umfassenden Änderungen des E-GovG hervor (siehe dazu BGBl. I Nr. 199/2022, tritt ein Jahr nach dem Tag der Kundmachung [27.07.2022] in Kraft und ErlRV 1443 BlGMr XXVII. GP, 1 ff).

Insgesamt kann eine Verarbeitung der personenbezogenen Daten des BF im ERsB nicht auf Art. 6 Abs. 1 lit. c DSGVO gestützt werden, da das E-GovG und das ERegV 2009 eine gesetzliche Verpflichtung zur Umsetzung des rollenbasierten Konzepts im ERsB nicht vorsehen.

II.3.2.3.2. Zur Rechtmäßigkeit der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e DSGVO:

Gemäß Art. 6 Abs. 1 lit. e DSGVO ist eine Verarbeitung rechtmäßig, die für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Art. 6 Abs. 1 lit. e DSGVO steht in einem engen Zusammenhang mit Art. 6 Abs. 2 und 3 DSGVO, die nähere Anforderungen an die Rechtsgrundlagen enthalten. Art. 6 Abs. 3 stellt klar, dass die Verarbeitung auf dem Unionsrecht oder dem Recht der Mitgliedstaaten beruhen muss, dem der Verantwortliche unterliegt, und dass die betreffende Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 127 f sowie ErwGr 45).

Nach Art. 6 Abs. 3 S. 2 DSGVO muss in der Rechtsgrundlage zwar nicht der Zweck der Datenverarbeitung festgelegt sein, jedoch der Zweck notwendig zur Erfüllung der gesetzlich übertragenen Aufgabe sein. Daher muss die Verarbeitung gerade zur Wahrnehmung der genannten Aufgaben erforderlich sein. Der Begriff der „Erforderlichkeit“ ist in jener Hinsicht zu verstehen, dass die Wahrnehmung der Aufgabe ohne Verarbeitung der in Frage stehenden personenbezogenen Daten nicht erfolgen kann.

Die übertragene Aufgabe muss in der Rechtsgrundlage hinreichend bestimmt beschrieben werden. Die Rechtmäßigkeit der Verarbeitung bedarf daher immer einer zusätzlichen rechtlichen Regelung, die sich an Art. 6 Abs. 2 und 3 DSGVO messen lassen muss. Art. 6 Abs. 1 lit. e DSGVO besitzt ein sehr weit gefächertes Anwendungsspektrum, was laut Artikel-29-Datenschutzgruppe „eine strenge Auslegung und eine klare Benennung des gegebenen öffentlichen Interesses und der öffentlichen Gewalt, die die Verarbeitung rechtfertigen, auf Einzelfallbasis gebietet“. Auch die Rechtsprechung des Europäischen Gerichtshofes sieht vor, dass der Rechtfertigungsgrund des Art. 6 Abs. 1 lit. e DSGVO eng auszulegen ist (EuGH 04.07.2023, C-252/21 (Meta Plattforms u.a.), Rn 93, mwH). An die Erforderlichkeit iS der Verhältnismäßigkeit gemäß Art. 52 Abs. 1 GRC und Art. 6 Abs. 3 S. 4 DSGVO sowie § 1 Abs. 2 DSG iVm Art. 8 Abs. 2 EMRK sind hohe Maßstäbe anzulegen.

Die Ausübung öffentlicher Gewalt betrifft die Wahrnehmung rechtlich normierter hoheitlicher Aufgaben und Befugnisse (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO (Stand 1.12.2020, rdb.at), Rn 60). Die Tätigkeit der Stammzahlenregisterbehörde ist jedenfalls als eine Tätigkeit in Ausübung öffentlicher Gewalt zu qualifizieren. Demnach wäre der Rechtfertigungstatbestand des Art. 6 Abs. 1 lit. e DSGVO grundsätzlich denkbar.

Wie bereits ausgeführt, werden in § 6 Abs. 4 E-GovG die Aufgaben und Befugnisse derart umschrieben, dass Betroffene, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen, auf ihren Antrag oder in den Fällen des § 10 Abs. 2 E-GovG auf Anregung einer anderen Stelle der Datenanwendung im Ergänzungsregister einzutragen sind. Das Ergänzungsregister wird in zwei Versionen geführt, nämlich getrennt nach natürlichen Personen („ERnP“) und sonstigen Betroffenen („ERsB“). In diesem Zusammenhang ist zu beachten, dass der äußerst mögliche Wortsinn die Grenze jeglicher Auslegung absteckt (VwGH 29.06.2022, Ra 2020/06/0041). Das bedeutet, dass Befugnisse, die über den äußerst möglichen Wortsinn der Regelung hinausgehen, dem MB nicht zukommen. Wie bereits dargestellt, ist eine Verarbeitung von personenbezogenen Daten des BF im ERsB nicht möglich, da er – bereits – im Zentralen Melderegister eingetragen ist.

Zur Verarbeitung der personenbezogenen Daten des BF auf Grundlage eines öffentlichen Interesses ist zu beachten, dass gemäß § 14 Abs. 1 ERegV 2009 das ERsB dem Nachweis der eindeutigen Identität Betroffener sowie der Darstellung bestehender Vollmachtsverhältnisse dient. Insgesamt ist daher aus dieser Regelung in Verbindung mit § 6 Abs. 4 E-GovG zu gewinnen, dass das öffentliche Interesse der Regelung darin besteht, sonstigen Betroffenen – Personen, die weder im Melderegister eingetragen sind, noch im Firmenbuch oder im Vereinsregister eingetragen sein müssen – eine eindeutige Identität im Rechts- und Wirtschaftsverkehr zu eröffnen. Ein darüber hinausgehendes Interesse, insbesondere, um unterscheiden zu können, ob eine natürliche Person in Privatangelegenheiten agiert oder unternehmerisch tätig ist, ist aus den anwendbaren gesetzlichen Regelungen nicht zu entnehmen und findet auch keine Deckung im äußerst möglichen Wortsinn (VwGH 29.06.2022, Ra 2020/06/0041). Im Ergebnis bedeutet dies, dass ein öffentliches Interesse an einer Verarbeitung von personenbezogenen Daten nur soweit bestehen kann, als dieses im äußerst möglichen Wortsinn der bestehenden Regelung seine Deckung findet.

Wie bereits ausgeführt muss der Zweck der Verarbeitung nicht zwingend in einer Rechtsgrundlage ausdrücklich vorgesehen sein. Nach Art. 6 Abs. 2 S. 2 DSGVO genügt es, wenn der Zweck der Verarbeitung erforderlich ist, um eine Aufgabe zu erfüllen, die im öffentlichen Interesse liegt oder in Ausübung einer öffentlichen Gewalt erfolgt. Das setzt allerdings voraus, dass eine solche Aufgabe hinreichend klar und bestimmt durch das Recht beschrieben wird. Jedoch kann aus § 6 Abs. 4 E-GovG nicht – ansatzweise – eine Aufgabe des MB hergeleitet werden, dass er Daten einer natürlichen Person, die unternehmerisch tätig ist, auch im ERsB zu speichern hat, um in elektronischen Verfahren unverwechselbar unterscheiden zu können, ob eine natürliche Person in „Privatangelegenheiten“ agiert oder dabei unternehmerisch tätig ist. In diesem Zusammenhang wird auf die Ausführungen in ErlRV 1443 BlGMr XXVII. GP, 1 ff verwiesen (zum E-GovG, idF BGBl. Nr. 199/2022): „Nachdem dieser seit der Stammfassung des E-GovG 2004 bestehende Hintergrund (gemeint die Differenzierung beim Begriff „Identität“ sowie beim Betroffenenbegriff bzw. der rollenbasierte Ansatz) vor allem in den letzten Monaten zu Missverständnissen bei Betroffenen geführt hat, soll mit dem vorliegenden Vorschlag auch eine diesbezügliche ausdrückliche Klarstellung im E-GovG vorgenommen werden.“ Aufgrund der Ausführungen in den Materialen zum E-GovG (BGBl. I Nr. 199/2022) wird ersichtlich, dass wegen bestehender Missverständnisse bei den Betroffenen der Hintergrund (die Differenzierung beim Begriff „Identität“ sowie beim Betroffenenbegriff bzw. der rollenbasierte Ansatz) nicht hinreichend klar und bestimmt durch das Recht beschrieben wurde. Daher hat der Gesetzgeber auch eine ausdrückliche Klarstellung im E-GovG vorgenommen. Erst mit der vorgenommenen Gesetzesänderung (BGBl. I Nr. 199/2022) in § 6 Abs. 4 E-GovG wird unter Berücksichtigung der dazugehörigen Materialien (ErlRV 1443 BlGMr XXVII. GP, 1 ff) der vom MB gewünschte rollenbasierte Ansatz ersichtlich. Dahingehend wird auf § 6 E-GovG 2022 (BGBl. I 199/2022) verwiesen. Gemäß Abs. 2 leg. cit. wird für eine natürliche Person, die im Zentralen Melderegister eingetragen ist, die Stammzahl aus der ZMR-Zahl gebildet. Für alle anderen natürlichen Personen wird die Ordnungszahl im Ergänzungsregister für die Ableitung der Stammzahl herangezogen. Abs. 3 leg. cit. führt aus, dass unbeschadet des Vorhandenseins einer Stammzahl gemäß Abs. 2 leg. cit. für Betroffene als Stammzahl die Firmenbuchnummer, die Vereinsregisterzahl, die Global Location Number oder die im Ergänzungsregister vergebene Ordnungsnummer zu verwenden ist. Aufgrund dieser gesetzlichen Regelungen in § 6 E-GovG 2022 folgt eindeutig, dass für eine natürliche Person, die im zentralen Melderegister eingetragen ist, eine Stammzahl zunächst mit Hilfe der ZMR-Zahl gebildet wird. Darüber hinaus können für eine natürliche Person noch weitere Stammzahlen gemäß Abs. 3 leg. cit. verwendet werden. Mit dieser gesetzlichen Grundlage kann man in elektronischen Verfahren unverwechselbar unterscheiden, ob eine natürliche Person in „Privatangelegenheiten“ agiert oder unternehmerisch tätig wird. Für den Fall, dass eine natürliche Person als Einzelunternehmer tätig wird, wird als Stammzahl eine Global Location Number (GLN) gemäß § 6 Abs. 3 Z 3 iVm Abs. 3a E-GovG 2022 verwendet. Die gesetzliche Grundlage in § 6 E-GovG 2022 unterscheidet sich somit evident von der geltenden Rechtslage.

Hingewiesen wird auch auf die Parlamentskorrespondenz Nr. 40 vom 22.01.2004: „Verfassungsausschuss gibt grünes Licht für Bürgerkarte […] Die Identifikation der Betroffenen soll dabei durch eine Stammzahl erfolgen. Diese leitet sich für natürliche Personen von der Ordnungsnummer im Zentralen Melderegister (der ZMR-Zahl) bzw. der Ordnungsnummer eines neu zu erstellenden Ergänzungsregisters her [gemeint Ergänzungsregister für natürliche Personen, ERnP]. Von dieser Stammzahl werden aus datenschutzrechtlichen Gründen wiederum in verschlüsselter Form unterschiedliche "bereichsspezifische Personenkennzeichen" (bPK) abgeleitet, nur diese scheinen beim Verkehr mit der jeweiligen Behörde auf. Für juristische und andere nicht natürliche Personen besteht die Stammzahl aus der Firmenbuchnummer, der Nummer im Zentralen Vereinsregister (ZVR-Zahl) oder der Ordnungsnummer im Ergänzungsregister [gemeint Ergänzungsregister für sonstige Betroffene, ERsB], Ableitungen sind hier nicht vorgesehen.“ (siehe https://www.parlament.gv.at/aktuelles/pk/jahr_2004/pk0040 ). Aus dieser Mitteilung ist eindeutig zu entnehmen, dass personenbezogene Daten von natürlichen Personen (ein Einzelunternehmer ist eine natürliche Person) nicht im ERsB erfasst werden. Dies aus datenschutzrechtlichen Gründen, weil eine Ableitung – gemeint Verschlüsselung mit bereichsspezifischen Personenkennzeichen – im Zusammenhang mit dem ERsB nicht erfolgt.

Insgesamt ergibt sich weder aus dem geltenden E-GovG, noch aus der ausführenden ERegV 2009 eine hinreichende Bestimmung eines entsprechenden öffentlichen Interesses, welche die verfahrensgegenständliche Verarbeitung der personenbezogenen Daten des BF – Eintragung seiner personenbezogenen Daten in das ERsB sowie deren Offenlegung – ermöglicht. Eine Eintragung bzw. Offenlegung von personenbezogenen Daten von Betroffenen, die über eine Eintragung im Zentralen Melderegister verfügen, ist nach der geltenden Rechtslage nicht möglich.

Schließlich ist die Erforderlichkeit gemäß Art. 6. Abs. lit. e DSGVO nicht gegeben. Aufgrund der vorliegenden Eintragung im zentralen Melderegister ist eine Verarbeitung der personenbezogenen Daten im Ergänzungsregister nicht mehr erforderlich. Egal ob eine natürliche Person (Betroffener) als Privatperson oder als Einzelunternehmer agiert, führt dieser Umstand nicht zu einer Änderung ihrer Identität. Unabhängig davon war auch eine Offenlegung der personenbezogenen Daten des BF über das ERsB nicht erforderlich: Mit BGBl. II Nr. 317/2020 wurde § 14 ERegV 2009 dahingehend geändert, dass das ERsB nicht mehr als öffentliches Register zu führen ist. Es ist nicht hervorgekommen, dass das ERsB ohne Veröffentlichung seinen Zweck nicht mehr erreichen konnte. Im Ergebnis konnte das ERsB seinen Zweck auch ohne Veröffentlichung der verarbeiteten personenbezogenen Daten erreichen. Darüber hinaus wurden berechtigte Interessen des BF (siehe Punkt II.1.5) mit der Veröffentlichung seiner Daten nicht berücksichtigt.

Insgesamt kann eine Verarbeitung der personenbezogenen Daten des BF im ERsB nicht auf Art. 6 Abs. 1 lit. e DSGVO gestützt werden. Insbesondere ergibt sich aus § 6 Abs. 4 E-GovG keine gesetzliche Aufgabe, wonach im ERsB personenbezogene Daten von natürlichen Personen gespeichert werden, um in elektronischen Verfahren unverwechselbar unterscheiden zu können, ob eine natürliche Person in „Privatangelegenheiten“ agiert oder dabei unternehmerisch tätig ist.

II.3.2.3.3. Zu den Grundsätzen der Verarbeitung:

Unabhängig von der fehlenden rechtmäßigen Verarbeitung gemäß Art. 6 DSGVO verstoßen die Eintragungen der personenbezogenen Daten des BF gegen das Zweckbindungsprinzip des Art. 5 Abs. 1 lit. b DSGVO, weil der Zweck des ERsB ausschließlich in der eindeutigen Identifikation von Betroffen, die weder im Zentralen Melderegister noch im Firmenbuch oder im Vereinsregister eingetragen sind, durch deren Stammzahl besteht. Weiters liegt ein Verstoß gegen die Verpflichtung der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO vor, weil die Eintragung von natürlichen Personen in das ERsB weder vom Zweck der Verarbeitung gedeckt noch auf das notwendige Maß beschränkt ist. Warum die in § 14 Abs. 1 ERegV 2009 (idF BGBl. II Nr. 331/2009) vorgesehene öffentliche Verfügbarkeit des ERsB für die Erreichung des Zwecks der Verarbeitung erforderlich sein sollte, wird weder begründet noch ist dies auch nur im Ansatz erkennbar (Jahnel, Das Ergänzungsregister für sonstige Betroffene, jusIT 2020, 88).

II.3.2.3.4. Resümee:

Da die vorliegende Verarbeitung der personenbezogenen Daten des BF im ERsB auf keinen Rechtfertigungstatbestand des Art. 6 DSGVO gestützt werden konnte und darüber hinaus auch Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 DSGVO verletzt wurden, war eine Verletzung des Rechts des BF auf Geheimhaltung im Sinne des § 1 Abs. 1 DSG festzustellen. Die Eintragung von personenbezogenen Daten des BF war aus den oben genannten Gründen durch die bestehende gesetzliche Grundlage nicht gedeckt. Daher war die Verarbeitung der personenbezogenen Daten des BF verfassungswidrig.

Schließlich ergibt sich, dass die Verarbeitung der personenbezogenen Daten des BF gemäß Art. 17 Abs. 1 lit. d DSGVO unrechtmäßig erfolgt. Dies hat zur Folge, dass nach Art. 17 Abs. 1 DSGVO alle Eintragungen des BF im ERsB vom MB unverzüglich zu löschen sind. Der MB kann sich nicht auf Art. 17 Abs. 3 lit. b DSGVO stützen, da eine Rechtmäßigkeit der Verarbeitung gemäß Art. 6 Abs. 1 lit. c oder e DSGVO nicht gegeben ist.

Sohin war spruchgemäß zu entscheiden.

II.3.3. Zu Spruchpunkt A) III. – Zurückweisung des Antrags auf Kostenersatz:

Gegenständlich handelt es sich um ein Verfahren über eine Bescheidbeschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG.

Nachdem das VwGVG für Bescheidbeschwerden keinen Kostenersatz vorsieht, sind gemäß § 17 VwGVG subsidiär die entsprechenden Regelungen des Allgemeinen Verwaltungsverfahrensgesetzes 1991 (AVG) anzuwenden. Gemäß § 74 Abs. 1 AVG hat jeder Beteiligte die ihm im Verwaltungsverfahren erwachsenden Kosten selbst zu bestreiten. Dieser Grundsatz gilt für sämtliche Parteienkosten, also etwa Anwaltskosten, Kosten für Privatgutachten etc. (VwSlg. 16.636 A/2005 mwN). Nach Abs. 2 leg. cit. bestimmen die Verwaltungsvorschriften, inwieweit einem Beteiligten ein Kostenersatzanspruch gegen einen anderen Beteiligten zusteht.

Ein wie vom BF beantragter Kostenersatz käme daher nur in Betracht, wenn hierfür eine Rechtsgrundlage bestünde und die sachliche Zuständigkeit des erkennenden Gerichts darüber vorliegen würde, über einen solchen Antrag abzusprechen (Art. 18 Abs. 1 B-VG).

Gegenständlich besteht weder im VwGVG, noch im subsidiär anzuwendenden AVG eine Rechtsgrundlage für einen Kostenersatz im Verfahren über eine Bescheidbeschwerde, da § 35 VwGVG einen Kostenersatzanspruch lediglich über Beschwerden wegen Ausübung unmittelbarer verwaltungsbehördlicher Befehls- und Zwangsgewalt iSd. Art. 130 Abs. 1 Z 2 B-VG vorsieht. Mangels materienspezifischer Sonderregelung im DSG oder in der DSGVO ergibt sich auch aus § 74 Abs. 2 AVG kein Kostenersatzanspruch.

Es liegen auch keinerlei Anhaltspunkte für eine planwidrige Lücke im Gesetz vor, die es erlauben würde, diese im Wege der Analogie zu schließen. Im Gegenteil hat sich der Gesetzgeber ausdrücklich für eine grundsätzliche Selbstbestreitung der Kosten im Verwaltungsverfahren entschieden und ist auch nicht davon auszugehen, dass er im DSG einen Kostenersatzanspruch regeln wollte und dies bloß „vergessen“ hat.

Weiters ist festzuhalten, dass weder im Verfahren vor der bB, noch im Verfahren vor dem BVwG Anwaltspflicht bzw. eine Vertretungspflicht herrscht (§ 17 VwGVG iVm § 10 AVG) und es gerade intendiert war, den Beschwerdeführern ohne (außer den bei Einbringung der Beschwerde erforderlichen Gebühren) weitere Kosten niederschwellig eine Anrufung des BVwG möglich zu machen. Eine Heranziehung eines Rechtsvertreters ist deshalb nicht zwingend notwendig.

Der Vollständigkeit halber wird festgehalten, dass die Regelung des § 74 auch nicht verfassungswidrig ist. Der Verfassungsgerichtshof führte dazu aus:

„Gegen die Verfassungsmäßigkeit des § 74 AVG bestehen keine Bedenken. Es liegt im rechtspolitischen Gestaltungsspielraum des Verwaltungsverfahrensgesetzgebers, ob und in welchen Fällen er eine Selbsttragung der Verfahrenskosten (iSd § 74 Abs. 1 AVG) oder einen Kostenersatzanspruch gegen einen anderen Beteiligten (vgl. § 74 Abs. 2 AVG iVm dem jeweiligen Materiengesetz) normiert. Dem Nachteil im (datenschutzrechtlichen) Verwaltungsverfahren, die eigenen Kosten selbst zu tragen, steht der Vorteil des fehlenden Risikos gegenüber, zur Übernahme von Kosten eines anderen Beteiligten verpflichtet zu werden.“ (VfGH vom 26.02.2020, E 315/2020-5).

Der Antrag des BF auf Verpflichtung der bB auf Kostenersatz war daher mangels Rechtsgrundlage zurückzuweisen.

II.3.4. Zu Spruchpunkt B) – Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Gemäß Art. 6 Abs. 1 lit. e DSGVO ist eine Verarbeitung zulässig, wenn sie gerade zur Wahrnehmung einer übertragenen Aufgabe erforderlich ist, die im öffentlichen Interesse liegt. Die übertragene Aufgabe muss in der Rechtsgrundlage hinreichend bestimmt beschrieben werden. Es fehlt an der Rechtsprechung des Verwaltungsgerichtshofes zum Grad der Bestimmtheit, welchen die Rechtsgrundlage im Sinne des Art. 6 Abs. 1 lit. e bzw. Abs. 3 lit. b DSGVO aufzuweisen hat.

Es war daher spruchgemäß zu entscheiden.

II.3.5. Zum Entfall der Verhandlung:

II.3.5.1. Zur Rechtslage im gegenständlichen Beschwerdeverfahren:

§ 24 Abs. 1 bis 2 VwGVG – Verhandlung – lautet:

(1) Das Verwaltungsgericht hat auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

(2) Die Verhandlung kann entfallen, wenn

1. der das vorangegangene Verwaltungsverfahren einleitende Antrag der Partei oder die Beschwerde zurückzuweisen ist oder bereits auf Grund der Aktenlage feststeht, dass der mit Beschwerde angefochtene Bescheid aufzuheben oder die angefochtene Ausübung unmittelbarer verwaltungsbehördlicher Befehls- und Zwangsgewalt für rechtswidrig zu erklären ist oder

2. die Säumnisbeschwerde zurückzuweisen oder abzuweisen ist;

3. wenn die Rechtssache durch einen Rechtspfleger erledigt wird.

II.3.5.2. Vor diesem Hintergrund ergibt sich für die Beschwerdesache Folgendes:

Der maßgebliche Sachverhalt konnte als durch die Aktenlage hinreichend geklärt erachtet werden. In der Beschwerde wurden keine noch zu klärenden Tatsachenfragen in konkreter und substantiierter Weise aufgeworfen und war gegenständlich auch keine komplexe Rechtsfrage zu lösen (VwGH vom 31.07.2007, Zl. 2005/05/0080). Somit konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden. Dem Absehen von der Verhandlung stehen hier auch Art 6 Abs. 1 EMRK und Art 47 der Charta der Grundrechte der Europäischen Union nicht entgegen.

Schließlich wurde vom BF bzw. seinem Rechtsvertreter auch keine Beschwerdeverhandlung beantragt bzw. konkrete Beweisanbote gestellt. Daher konnte auch aus diesen Gründen von einer Durchführung einer Verhandlung abgesehen werden (VwGH 19.10.2016, Ra 2016/12/0073).

Lizenziert vom RIS (ris.bka.gv.at - CC BY 4.0 DEED)

BVwG W245 2245407-1

Inhalt

Spruch:

Stichworte