BVwG W292 2247931-1

Spruch:

W292 2247931-1/27E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter Mag.a Martina CHLESTIL und Mag. René BOGENDORFER als Beisitzer über die Beschwerde von 1) XXXX und 2) XXXX gegen den Bescheid der Datenschutzbehörde vom 22.09.2021, Zl. XXXX nach Durchführung einer mündlichen Verhandlung zu Recht erkannt:

A)

Der Beschwerde wird teilweise Folge gegeben und der angefochtene Bescheid mit der Maßgabe abgeändert, dass der Spruch insgesamt zu lauten hat wie folgt:

„Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von XXXX (Erstbeschwerdeführer) und XXXX (Zweitbeschwerdeführer) vom 08.11.2020, gegen die Landespolizeidirektion XXXX (als datenschutzrechtlich Verantwortliche), wegen Verletzung im Recht auf Geheimhaltung und im Recht auf Löschung wie folgt:

1. Die Landespolizeidirektion XXXX hat den Erst- und den Zweitbeschwerdeführer dadurch im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt,

a) indem Oberst XXXX in dessen Eigenschaft als Kommandant des BPK XXXX zwischen Mai und Juli 2020 Aktenbestandteile des kriminalpolizeilichen Aktenvorganges zur Zl. XXXX , diese Akten dokumentieren ein Strafverfahren, das gegen den Erst- und Zweitbeschwerdeführer sowie XXXX zur Zl. XXXX geführt wurde und einen Vorfall vom XXXX 2007 in XXXX betraf, im Zuge der Führung von Erhebungen und der Erstattung einer Disziplinaranzeige betreffend XXXX , am 05.07.2020 dem diesbezüglichen Disziplinarakt beigeschlossen und an die für Personal- und Disziplinarangelegenheiten zuständige Fachabteilung der LPD XXXX übermittelt hat; dies ohne die betreffenden Aktenbestandteile dahingehend zu prüfen, ob aus diesen Informationen betreffend nicht am Disziplinarverfahren beteiligter Personen hervorgehen um diese auszusondern oder unkenntlich zu machen und ohne eine inhaltliche Prüfung der Aktenbestandteile dahingehend vorzunehmen, ob die darin enthaltenen Informationen denkmöglich geeignet waren, den maßgeblichen Sachverhalt in Bezug auf die disziplinarrechtlichen Vorwürfe gegen XXXX zu ermitteln, und

b) indem Organwalter der für Personal- und Disziplinarangelegenheiten zuständigen Fachabteilung der LPD XXXX das gesamte Aktenkonvolut, das vom Kommandanten des BPK XXXX im Rahmen einer Disziplinaranzeige betreffend disziplinarrechtlicher Vorwürfe gegen XXXX erstellt und vorgelegt wurde, an die Bundesdisziplinarbehörde übermittelt haben; dies ohne die betreffenden Aktenbestandteile dahingehend zu prüfen, ob aus diesen Informationen betreffend nicht am Disziplinarverfahren beteiligter Personen hervorgehen um diese auszusondern oder unkenntlich zu machen und ohne eine inhaltliche Prüfung der Aktenbestandteile dahingehend vorzunehmen, ob die darin enthaltenen Informationen denkmöglich geeignet waren, den maßgeblichen Sachverhalt in Bezug auf die disziplinarrechtlichen Vorwürfe gegen XXXX zu ermitteln.

2. In Bezug auf die Verletzung im Recht auf Löschung wegen behaupteter pflichtwidriger Nichtvornahme der vollständigen Löschung des kriminalpolizeilichen Aktenvorganges zur Zl. XXXX aus dem elektronischen Aktenverwaltungssystem „PAD - Protokollieren Anzeigen Daten“ wird die Beschwerde abgewiesen.“

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Die Beschwerdeführer behaupteten im Verfahren vor der Datenschutzbehörde (in der Folge auch: belangte Behörde) eine Verletzung im Recht auf Geheimhaltung gemäß § 1 DSG sowie eine Verletzung im Recht auf Löschung gemäß § 45 DSG durch die LPD XXXX als Verantwortliche und brachten im Rahmen des verfahrenseinleitenden Antrages gemäß § 24 DSG zusammengefasst vor wie folgt:

Der Zweitbeschwerdeführer sowie sein Bruder, XXXX , seien Exekutivbeamte der Landespolizeidirektion XXXX . Beim Erstbeschwerdeführer handle es sich um deren Vater, welcher ebenso Exekutivbeamter gewesen sei. Seit Ende Mai 2020 werde aufgrund eines anonymen Schreibens, welches im Zusammenhang mit einer Planstellenausschreibung der Polizeiinspektion XXXX publik gemacht worden sei, gegen XXXX ermittelt.

Die diesbezüglichen Erhebungen habe Oberst XXXX in dessen Eigenschaft als Kommandant des BPK XXXX geführt, wobei dieser am 05.07.2020 eine Disziplinaranzeige gegen XXXX (GZ PAD/ XXXX ) der LPD XXXX vorgelegt habe; von dort sei das betreffende Aktenkonvolut sodann an die Bundesdisziplinarbehörde übermittelt worden. Mitte Juli 2020 habe der Zweitbeschwerdeführer davon Kenntnis erlangt, dass in dieser Disziplinaranzeige auch Daten von ihm sowie seines Vaters weitergegeben worden seien. Konkret seien dabei Teile einer zur GZ XXXX geführten Strafanzeige, welche 2007 gegen den Erstbeschwerdeführer, den Zweitbeschwerdeführer sowie XXXX erstattet worden sei, als Beilage übermittelt worden. In diesem Verfahren sei es jedoch zu einem rechtskräftigen Freispruch gekommen. Zudem seien im Anschreiben an die Disziplinarbehörde die Namen der Beschwerdeführer sowie das Verwandtschaftsverhältnis angeführt gewesen. Die Existenz der Aktenteile aus dem Jahr 2007 sei offensichtlich auf die Nichteinhaltung von Skartierungsvorschriften zurückzuführen.

2. Mit dem angefochtenen Bescheid hat die Datenschutzbehörde die Beschwerde abgewiesen. Begründend führte sie hierzu aus, in Bezug auf die Aktenübermittlung anlässlich der Legung einer Disziplinaranzeige komme das sogenannte Übermaßverbot zur Anwendung, es liege demnach in der Zuständigkeit der verfahrensführenden Behörde, welche Beweise zur Feststellung des maßgebenden Sachverhaltes im Rahmen eines Disziplinarverfahrens herangezogen werden; in Bezug auf die behauptete Verletzung im Recht auf Löschung der Strafanzeige aus dem PAD-Aktenverwaltungssystem liege die Zuständigkeit bei der Kriminalpolizei (hier: Bezirksverwaltungsbehörde – BH XXXX ) als Verantwortlicher und nicht bei der Landespolizeidirektion.

Beschwerdegegenstand vor der belangten Behörde war demnach eine behauptete Verletzung im Recht auf Geheimhaltung infolge der Übermittlung von Teilen eines Strafaktes bezüglich eines Strafverfahrens, das gegen die Beschwerdeführer zur Zl. XXXX geführt wurde und einen Vorfall vom XXXX 2007 in XXXX betraf, im Zuge der Disziplinaranzeige gegen XXXX an die Bundesdisziplinarbehörde durch die Beschwerdegegnerin; weiters eine behauptete Verletzung im Recht auf Löschung infolge unterlassener Löschung des genannten Strafaktes.

3. Im Rahmen der dagegen erhobenen Beschwerde bringen die Beschwerdeführer zusammengefasst vor, die belangte Behörde habe ein mangelhaftes Ermittlungsverfahren geführt und keine hinreichenden Feststellungen zur tatsächlichen Löschung des betreffenden Aktenvorganges getroffen, zudem habe die belangte Behörde in rechtlicher Hinsicht verkannt, dass die BH XXXX in Ermangelung einer tatsächlichen Zugriffsmöglichkeit auf das Aktenverwaltungssystem PAD nicht für die Löschung dort gespeicherter Akten verantwortlich sein könne. In Bezug auf die Abweisung der Beschwerde hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung führen die Beschwerdeführer aus, dass das von der belangten Behörde herangezogene „Übermaßverbot“ nicht zu Anwendung gelangen könne, da nicht gegen die Beschwerdeführer selbst, sondern gegen andere Personen ein Disziplinarverfahren geführt wurde bzw. dass die belangte Behörde nicht habe beurteilen können, ob die in Rede stehenden Aktenbestandteile „denkmöglich“ zur Feststellung des maßgeblichen Sachverhaltes in einem Disziplinarverfahren geeignet gewesen sein; dies bereits deshalb, da die belangte Behörde die Vorwürfe, die dem betreffenden Disziplinarverfahren zugrundelagen, nicht bekannt gewesen seien.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Der Zweitbeschwerdeführer ist Exekutivbediensteter im Bereich der Landespolizeidirektion XXXX . Der Erstbeschwerdeführer ist der Vater des Zweitbeschwerdeführers und des XXXX , er war bis zu seiner Pensionierung ebenfalls Exekutivbeamter der LPD XXXX . Im Mai 2020 hat sich XXXX , dieser ist ebenfalls Exekutivbeamter, auf eine offene Planstelle im Bezirk XXXX (1. Stellvertreter PI XXXX ) beworben. Noch vor Ende dieser Bewerbungsfrist langte bei der LPD XXXX ein anonymes Schreiben ein, in dem XXXX straf- und disziplinarrechtliche Verstöße vorgeworfen wurden. In weiterer Folge wurde das BPK XXXX (in der Folge kurz: BPK) mit den entsprechenden disziplinarrechtlichen Erhebungen beauftragt und im Juli 2020 eine Disziplinaranzeige gegen XXXX erstattet. Zwischenzeitlich wurde die Planstelle mit einem anderen Beamten besetzt.

1.2. Am 09.10.2007 wurde bei der Staatsanwaltschaft XXXX eine Anzeige gegen die beiden Beschwerdeführer sowie gegen XXXX (Sohn des Erstbeschwerdeführers bzw. Bruder des Zweitbeschwerdeführers) erstattet. Die Anzeige wurde unter der Aktenzahl XXXX geführt und hatte einen Vorfall vom XXXX 2007 zum Gegenstand, bei dem XXXX und XXXX außer Dienst in einen Raufhandel verwickelt waren und in weiterer Folge als Beschuldigte wegen des Verdachtes der Begehung mehrerer Delikte, u.a. der Körperverletzung und Sachbeschädigung, als Verdächtige und in weiterer Folge als Beschuldigte geführt wurden. Der Akt wurde in der Anwendung „PAD - Protokollieren Anzeigen Daten“ gespeichert und in physischer Form angelegt. Es handelte sich hierbei um eine Amtshandlung der Kriminalpolizei. Das im Anschluss erfolgte Verfahren endete – sowohl für die beiden Beschwerdeführer als auch XXXX – mit einem gerichtlichen Freispruch. Die diesbezüglichen Urteile ergingen im Jänner 2008. Weder gegen XXXX , noch gegen XXXX wurden in Folge dieses Vorfalles disziplinarrechtliche Maßnahmen gesetzt.

1.3. Bei der Datenanwendung „PAD“ handelt es sich um ein elektronisches Aktenprotokollierungssystem der Bundespolizei, dieses wird im Bereich der Polizeidienststellen zur Behandlung der zu besorgenden Geschäftsfälle (Dokumentation der Amtshandlungen, Verwaltung von Dokumenten und die Auffindung von Aktenstücken) eingesetzt. Bei der Anwendung PAD handelt es sich um eine Software- und Datenbanklösung, die von den Landespolizeidirektionen eingesetzt wird und vom Bundesministerium für Inneres als Auftragsverarbeiter technisch betrieben und bereitgestellt wird.

1.4. Die Bezirkshauptmannschaft XXXX hatte und hat keinen Zugriff auf das elektronische Aktenprotokollierungssystem PAD und ist diese Anwendung im Bereich der IT-Infrastruktur der BH XXXX nicht verfügbar. Die BH XXXX hatte und hat keine wie immer gearteten technischen Zugriffsmöglichkeiten auf elektronische Akteninhalte, die im Bereich der Kriminalpolizei im Rahmen von „PAD“ elektronisch verarbeitet werden. Dies gilt im Besonderen auch für den verfahrensgegenständlichen elektronischen Akt mit der Zl. XXXX , der im September 2007 im Bereich der PI XXXX erzeugt wurde.

1.5. Es kann nicht festgestellt werden, wann der kriminalpolizeiliche Aktenvorgang zur Zl. XXXX tatsächlich vollständig aus dem elektronischen Aktenprotokollierungssystem PAD gelöscht wurde.

1.6. Weiterhin kann nicht festgestellt werden, auf welchem Weg die in Rede stehenden Aktenbestandteile zum kriminalpolizeilichen Akt mit der Zl. XXXX im Vorfeld der disziplinarrechtlichen Erhebungen und der Erstattung einer Disziplinaranzeige gegen XXXX am 05.07.2020 in den Verfügungsbereich des BPK gelangten.

1.7. Ende Mai 2020 erlangte das BPK aufgrund anonymer Hinweise Kenntnis darüber, dass gegen XXXX Vorwürfe erhoben wurden, die dessen Verhalten im Dienst gegenüber anderen Polizeibediensteten betrafen. Im Raum standen demnach verbale Entgleisungen im Umgang mit Bediensteten der PI XXXX und unangemessene Verhaltensweisen weiblicher Bediensteter gegenüber. Aufgrund der solcherart erhobenen Anschuldigungen kam es in Abstimmung mit den zuständigen Stellen der LPD XXXX zu Erhebungen, die Oberst XXXX in dessen Funktion als Kommandant des BPK führte. Im Zuge dieser Erhebungen wurden 36 Exekutivbedienstete der PI XXXX als Zeugen zu deren eigenen Wahrnehmungen in Bezug auf die bekanntgewordenen Vorwürfe gegen XXXX befragt.

1.8. Im Juli 2020 fügte Oberst XXXX dem gegen XXXX geführten Disziplinarakt Bestandteile des kriminalpolizeilichen Aktes zur Zl. XXXX an und übermittelte die Unterlagen an die für Personal- und Disziplinarangelegenheiten zuständige Fachabteilung der LPD XXXX . Dies ohne die betreffenden Aktenbestandteile dahingehend zu prüfen, ob aus diesen Informationen betreffend nicht am Disziplinarverfahren beteiligter Personen hervorgehen um diese gegebenenfalls auszusondern oder unkenntlich zu machen und ohne eine inhaltliche Prüfung der Aktenbestandteile dahingehend vorzunehmen, ob die darin enthaltenen Informationen denkmöglich geeignet waren, den maßgeblichen Sachverhalt in Bezug auf die disziplinarrechtlichen Vorwürfe gegen XXXX zu ermitteln.

1.9. In Folge haben Organwalter der für Personal- und Disziplinarangelegenheiten zuständigen Fachabteilung der LPD XXXX das gesamte Aktenkonvolut, das vom Kommandanten des BPK im Rahmen einer Disziplinaranzeige betreffend disziplinarrechtlicher Vorwürfe gegen XXXX erstellt und vorgelegt wurde, an die Bundesdisziplinarbehörde übermittelt; dies ohne die betreffenden Aktenbestandteile dahingehend zu prüfen, ob aus diesen Informationen betreffend nicht am Disziplinarverfahren beteiligter Personen hervorgehen um diese gegebenenfalls auszusondern oder unkenntlich zu machen und ohne eine inhaltliche Prüfung der Aktenbestandteile dahingehend vorzunehmen, ob die darin enthaltenen Informationen denkmöglich geeignet waren, den maßgeblichen Sachverhalt in Bezug auf die disziplinarrechtlichen Vorwürfe gegen XXXX zu ermitteln.

1.10. XXXX und XXXX wurden im Rahmen des Disziplinarverfahrens gegen XXXX weder als Zeugen, noch als Beschuldigte oder sonst Beteiligte geführt.

1.11. Für den Bereich der Landespolizeidirektionen steht eine Kanzleiordnung des BMI in Geltung.

Diese regelt in Anhang B Die Skartierungsvorschrift als Teil der Kanzleiordnung und enthält Grundsätze für die Aufbewahrungsdauer, sowie das Löschen und Vernichten von Daten, Akten und Schriftstücken in elektronischer und physischer Form. Der maßgebliche Inhalt lautet auszugsweise:

„1.2 Strafprozessordnung

Beim Modul „Kriminalpolizei“ ist gemäß § 75 StPO i. V. mit de[m] Erkenntnis des VfGH vom 29.06.2012 eine periodische Überprüfung der Speicherung alle 5 Jahre durchzuführen (automatische Erinnerung in PAD). Die absolute Löschfrist endet nach 60 Jahren.

[ … ]

2. Skartierungsvorgang

Die Skartierung hat vom Dienststellenleiter oder einem von ihm Beauftragten zu erfolgen. Diese ist quartalsmäßig durchzuführen.

In der jeweiligen Applikation ist eine Liste (Skartierungsprotokoll) der bereits elektronisch skartierten Akten aufzurufen und auszudrucken. Die nach dem Skartierungsprotokoll auszuscheidenden physischen Akten (falls vorhanden) sind der Vernichtung zuzuführen.

Das ausgeschiedene Material ist möglichst kostengünstig zu entsorgen. Bei der Entsorgung ist auf die Erfordernisse des Datenschutzes Bedacht zu nehmen.

Die erfolgte Ausscheidung ist auf dem Skartierungsprotokoll im Sinne des Vier-Augen Prinzips durch eigenhändige Unterschrift zu dokumentieren. Das Skartierungsprotokoll ist 3 Jahre aufzubewahren.“

2. Beweiswürdigung:

2.1. Zu 1.1. - 1.2.: Die diesbezüglichen Feststellungen ergeben sich anhand des insofern unbedenklichen Akteninhaltes und der damit übereinstimmenden – nicht divergierenden – Aussagen der Parteien vor dem BVwG.

2.2. Zu 1.3. – 1.4.: Die diesbezüglichen Feststellungen ergeben sich anhand der informierten Aussagen des Datenschutzbeauftragten für den Bereich der Landespolizeidirektion(en) im Rahmen dessen Zeugenbefragung vor dem BVwG. Der Umstand, dass die Bezirkshauptmannschaft XXXX im Rahmen der dortigen IT-Infrastruktur keinen Zugriff auf die Anwendung „PAD“ hatte und hat, ergibt sich zudem aus einer schriftlichen Stellungnahme der BH XXXX hierzu im Verfahren vor der belangten Behörde [Zl. XXXX vom 08.02.2021].

2.3. Zu 1.5.: Weder von der Landespolizeidirektion XXXX , noch vom Bezirkspolizeikommando XXXX konnte ein Nachweis betreffend des Zeitpunktes der Löschung des kriminalpolizeilichen Aktenvorganges zur Zl. XXXX aus dem elektronischen Aktenverwaltungssystem PAD erbracht werden. Oberst XXXX gab hierzu an, dass er erst seit dem Jahr 2018 in Funktion des Kommandanten des BPK XXXX tätig sei und daher hierzu keinerlei eigene Wahrnehmung habe, was vor dem Hintergrund, dass er als Leiter des BPK XXXX für die gesetzmäßige Löschung kriminalpolizeilicher Akten im Rahmen seiner Dienstpflichten (vgl. hierzu Anhang B der Kanzleiordnung) verantwortlich ist und entsprechende Skartierungsprotokolle zum Nachweis einer erfolgten Aktenvernichtung über einen Zeitraum von drei Jahren nach erfolgter Skartierung im Bereich des BPK XXXX aufzubewahren gewesen wären, nicht nachvollziehbar erscheint. Jedoch geht der erkennende Senat davon aus, dass der in Rede stehende elektronische Akt aus dem PAD, nach dem die Beschuldigten mit Urteil des zuständigen Strafgerichtes freigesprochen wurden, gelöscht wurde. Dies deshalb, da im PAD entsprechend der gesetzlichen Vorgaben in fünfjährigen Abständen automatisch eine Erinnerung zur Prüfung der Erforderlichkeit der elektronischen Weiterverarbeitung des jeweiligen Aktes implementiert ist und keinerlei Hinweise hervorgekommen sind, dass der Akt in elektronischer Form weiterhin im PAD gespeichert wird. Unstrittig war hingegen, dass Bestandteile des kriminalpolizeilichen Aktes mit der Zl. XXXX in Papierform in den Verfügungsbereich des BPK XXXX gelangten und dort im Rahmen des Disziplinarverfahrens gegen XXXX verarbeitet wurden.

2.4. Zu 1.6.: Oberst XXXX konnte zur Herkunft der beim BPK XXXX anonym hinterlegten Aktenteile keinerlei Auskünfte erteilen, weder seien die Schriftstücke erkennungsdienstlich behandelt worden, noch sei die Auffindungssituation bildlich oder sonst dokumentiert worden. Auch habe er keine Kenntnis darüber, wer am Tag der angeblichen Hinterlegung die Post in die Dienststelle verbracht hat und weshalb die einlangenden Schriftstücke – entgegen der geltenden Kanzleiordnung – nicht mit einem Eingangsvermerk (Eingangsstampiglie) versehen wurden. Die diesbezüglichen Angaben des Oberst XXXX erweisen sich als vage und uninformiert. Insgesamt kann aufgrund der Gesamtumstände daher nicht mit hinreichender Wahrscheinlichkeit festgestellt werden, ob die in Rede stehenden Dokumente tatsächlich von einem Dritten im Postfach des BPK hinterlegt worden waren oder auf andere Weise in den Verfügungsbereich des BPK gelangten.

2.5. Zu 1.7.: Die diesbezüglichen Feststellungen ergeben sich anhand der insofern übereinstimmenden Aussagen der Parteien und des damit in Einklang stehenden Akteninhaltes.

2.6. Zu 1.8.: Die diesbezüglichen Feststellungen ergeben sich anhand der hierzu klaren und eindeutigen Aussagen des Oberst XXXX (BPK) im Zuge dessen Befragung vor dem BVwG; demnach habe er keinerlei Überlegungen dahingehend angestellt, ob zwischen dem Akt XXXX und den gegen XXXX im Jahr 2020 erhobenen disziplinarrechtlichen Vorwürfen ein sachlicher Zusammenhang gegeben sein konnte. Er habe aus Zeitdruck und auf Weisung der ihm übergeordneten Stellen in der LPD XXXX gehandelt. Bemerkenswert erscheint in diesem Zusammenhang, dass Oberst XXXX im Rahmen seiner Befragung angibt, nicht einmal eine Erinnerung dazu zu haben, auf welche Tatzeiträume sich die gegen XXXX im Jahr 2020 vorgebrachten disziplinarrechtlichen Vorwürfe bezogen haben sollen. Seine Kenntnis zur Aktenlage hinsichtlich des Disziplinarverfahrens gegen XXXX erwies sich, insbesondere vor dem Hintergrund der Tatsache, dass er als Kommandant des BPK federführend mit den Erhebungen gemäß § 109 Abs. 1 BDG betraut war und 36 Zeugeneinvernahmen stattfanden, auffallend oberflächlich.

2.7. Zu 1.9.: Die diesbezüglichen Feststellungen ergeben sich anhand der hierzu klaren und eindeutigen Aussagen des Vertreters der für Personal- und Disziplinarangelegenheiten zuständigen Fachabteilung der LPD XXXX . So gibt ADir. XXXX im Zuge seiner Befragung vor dem BVwG an, dass von den hiermit befassten Organwaltern der LPD XXXX aufgrund des Zeitdruckes und des Umfanges des Aktenkonvolutes zur Disziplinaranzeige gegen XXXX keinerlei inhaltliche Prüfung dahingehend vorgenommen worden sei, ob die enthaltenen Aktenteile in irgendeinem sachlichen Zusammenhang mit den gegen XXXX erhobenen disziplinarrechtlichen Vorwürfen standen.

2.8. Zu 1.10.: Die diesbezüglichen Feststellungen ergeben sich anhand der vorliegenden Aktenlage und den damit in Einklang stehenden – nicht divergierenden – Aussagen der Parteien.

2.9. Zu 1.11.: Die diesbezüglichen Feststellungen ergeben sich anhand des vorliegenden Akteninhaltes und der Aussagen der beiden Beschwerdeführer in Zusammenschau mit dem entsprechenden Erlass des BMI zur Kanzleiordnung für den Bereich der Landespolizeidirektionen.

3. Rechtliche Beurteilung:

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor.

Zu A)

3.1. Anzuwendendes Recht

3.1.1. Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten auszugsweise wie folgt:

„Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

[…]

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) […]

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7 – 10) […]

3. Hauptstück

Verarbeitung personenbezogener Daten für Zwecke der Sicherheitspolizei einschließlich des polizeilichen Staatsschutzes, des militärischen Eigenschutzes, der Aufklärung und Verfolgung von Straftaten, der Strafvollstreckung und des Maßnahmenvollzugs

1. Abschnitt

Allgemeine Bestimmungen

Anwendungsbereich und Begriffsbestimmungen

§ 36. (1) Die Bestimmungen dieses Hauptstücks gelten für die Verarbeitung personenbezogener Daten durch zuständige Behörden zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, sowie zum Zweck der nationalen Sicherheit, des Nachrichtendienstes und der militärischen Eigensicherung.

(2) Im Sinne dieses Hauptstücks bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. „Einschränkung der Verarbeitung“ die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken;

4. „Profiling“ jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;

5. „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden;

6. „Dateisystem“ jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geografischen Gesichtspunkten geordnet geführt wird;

7. „zuständige Behörde“

a) eine staatliche Stelle, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, die nationale Sicherheit, den Nachrichtendienst oder die militärische Eigensicherung zuständig ist, oder

b) eine andere Stelle oder Einrichtung, der durch das Recht der Mitgliedstaaten die Ausübung öffentlicher Gewalt und hoheitlicher Befugnisse zur Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder zur Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, zum Zweck der nationalen Sicherheit, des Nachrichtendienstes oder der militärischen Eigensicherung übertragen wurde;

8. „Verantwortlicher“ die zuständige Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet;

9. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

10. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, denen personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags aufgrund von Gesetzen möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften gemäß den Zwecken der Verarbeitung;

11. „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;

12. „genetische Daten“ personenbezogene Daten zu den ererbten oder erworbenen genetischen Eigenschaften einer natürlichen Person, die eindeutige Informationen über die Physiologie oder die Gesundheit dieser natürlichen Person liefern und insbesondere aus der Analyse einer biologischen Probe der betreffenden natürlichen Person gewonnen wurden;

13. „biometrische Daten“ mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen, wie Gesichtsbilder oder daktyloskopische Daten;

14. „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;

15. „Aufsichtsbehörde“ ist die Datenschutzbehörde;

16. „internationale Organisation“ eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Staaten geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde.

Grundsätze für die Datenverarbeitung, Kategorisierung und Datenqualität

§ 37. (1) Personenbezogene Daten

1. müssen auf rechtmäßige Weise und nach Treu und Glauben verarbeitet werden,

2. müssen für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden,

3. müssen dem Verarbeitungszweck entsprechen und müssen maßgeblich sein und dürfen in Bezug auf die Zwecke, für die sie verarbeitet werden, nicht übermäßig sein,

4. müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; dabei sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden,

5. dürfen nicht länger, als es für die Zwecke, für die sie verarbeitet werden, erforderlich ist, in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen ermöglicht,

6. müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen.

(2) Für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke im Anwendungsbereich des § 36 Abs. 1 gilt § 38.

(3) Der Verantwortliche ist für die Einhaltung der Abs. 1 und 2 verantwortlich und muss deren Einhaltung nachweisen können.

[ … ]

Recht auf Berichtigung oder Löschung personenbezogener Daten und auf Einschränkung der Verarbeitung

§ 45. (1) Jede betroffene Person hat das Recht, vom Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten sowie die Vervollständigung unvollständiger personenbezogener Daten zu verlangen. Die Berichtigung oder Vervollständigung kann erforderlichenfalls mittels einer ergänzenden Erklärung erfolgen, soweit eine nachträgliche Änderung mit dem Dokumentationszweck unvereinbar ist. Der Beweis der Richtigkeit der Daten obliegt dem Verantwortlichen, soweit die personenbezogenen Daten nicht ausschließlich aufgrund von Angaben der betroffenen Person ermittelt wurden.

(2) Der Verantwortliche hat personenbezogene Daten aus eigenem oder über Antrag der betroffenen Person unverzüglich zu löschen, wenn

1. die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind,

2. die personenbezogenen Daten unrechtmäßig verarbeitet wurden oder

3. die Löschung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.

(3) Anstatt die personenbezogenen Daten zu löschen, kann der Verantwortliche deren Verarbeitung einschränken, wenn

1. die betroffene Person die Richtigkeit der personenbezogenen Daten bestreitet und die Richtigkeit oder Unrichtigkeit nicht festgestellt werden kann, oder

2. die personenbezogenen Daten für Beweiszwecke im Rahmen der Wahrnehmung einer ihm gesetzlich übertragenen Aufgabe weiter aufbewahrt werden müssen.

Im Falle einer Einschränkung gemäß Z 1 hat der Verantwortliche die betroffene Person vor einer Aufhebung der Einschränkung zu unterrichten.

(4) Der Verantwortliche hat die betroffene Person schriftlich über eine Verweigerung der Berichtigung oder Löschung personenbezogener Daten oder eine Einschränkung der Verarbeitung und über die Gründe für die Verweigerung zu unterrichten. Der Verantwortliche hat die betroffene Person über die Möglichkeit zu unterrichten, bei der Datenschutzbehörde Beschwerde einzulegen.

(5) Der Verantwortliche hat die Berichtigung von unrichtigen personenbezogenen Daten der zuständigen Behörde, von der die unrichtigen personenbezogenen Daten stammen, mitzuteilen.

(6) In Fällen der Berichtigung, Löschung oder Einschränkung der Verarbeitung gemäß Abs. 1 bis 3 hat der Verantwortliche alle Empfänger der betroffenen personenbezogenen Daten in Kenntnis zu setzen. Die Empfänger sind verpflichtet, die ihrer Verantwortung unterliegenden personenbezogenen Daten unverzüglich zu berichtigen, löschen oder deren Verarbeitung einschränken.

(Anm.: Abs. 7 aufgehoben durch Z 22, BGBl. I Nr. 24/2018)“

3.1.2. Die maßgeblichen Bestimmungen der Strafprozessordnung 1975 (StPO), in der Fassung BGBl. I Nr. 32/2018 lauten samt Überschrift auszugsweise wie folgt:

„Kriminalpolizei

§ 18. (1) Kriminalpolizei besteht in der Wahrnehmung von Aufgaben im Dienste der Strafrechtspflege (Art. 10 Abs. 1 Z 6 B-VG).

(2) Kriminalpolizei obliegt den Sicherheitsbehörden, deren Organisation und örtliche Zuständigkeit sich nach den Vorschriften des Sicherheitspolizeigesetzes über die Organisation der Sicherheitsverwaltung richten.

(3) Die Organe des öffentlichen Sicherheitsdienstes (§ 5 Abs. 2 SPG) versehen den kriminalpolizeilichen Exekutivdienst, der in der Aufklärung und Verfolgung von Straftaten nach den Bestimmungen dieses Gesetzes besteht.

[ ... ]

Berichtigen, Löschen und Sperren personenbezogener Daten

§ 75. (1) Unrichtige, unvollständige oder entgegen den Bestimmungen dieses Gesetzes ermittelte personenbezogene Daten sind von Amts wegen oder auf Antrag der betroffenen Person unverzüglich richtig zu stellen, zu vervollständigen oder zu löschen. Behörden und Gerichte sind von der Berichtigung oder Löschung jener personenbezogenen Daten zu verständigen, die ihnen zuvor übermittelt worden sind (§ 76 Abs. 4). Überdies sind von der Berichtigung jene Behörden und öffentlichen Dienststellen des Bundes, der Länder und der Gemeinden sowie andere durch Gesetz eingerichtete Körperschaften und Anstalten des öffentlichen Rechts zu verständigen, von denen die zu berichtigenden Daten stammen.

(2) Im Übrigen ist ein Zugriff auf Namensverzeichnisse zu unterbinden, und zwar

1. im Fall einer Verurteilung längstens nach Ablauf von zehn Jahren ab dem Zeitpunkt, ab dem die Strafe vollzogen wurde, wenn jedoch eine Strafe nicht ausgesprochen oder bedingt nachgesehen wurde, ab der Verurteilung,

2. im Fall eines Freispruchs, einer Einstellung des Verfahrens oder eines (endgültigen) Rücktritts von Verfolgung längstens nach Ablauf von zehn Jahren ab der Entscheidung.

[ … ]“

Die maßgebenden Bestimmungen des Bundesgesetz über die Organisation der Sicherheitsverwaltung und die Ausübung der Sicherheitspolizei (Sicherheitspolizeigesetz – SPG), derzeit in der Fassung BGBl. I Nr. 147/2022, lauten Auszugsweise samt Überschrift:

„Sicherheitsbehörden

§ 4. (1) Oberste Sicherheitsbehörde ist der Bundesminister für Inneres.

(2) Dem Bundesminister für Inneres unmittelbar unterstellt besorgen Landespolizeidirektionen, ihnen nachgeordnet Bezirksverwaltungsbehörden die Sicherheitsverwaltung in den Ländern.

[ … ]

Besorgung des Exekutivdienstes

§ 5. (1) Die Organe des öffentlichen Sicherheitsdienstes versehen für die Sicherheitsbehörden den Exekutivdienst.

(2) Organe des öffentlichen Sicherheitsdienstes sind

1. Angehörige des Wachkörpers Bundespolizei,

2. Angehörige der Gemeindewachkörper,

3. Angehörige des rechtskundigen Dienstes bei Sicherheitsbehörden, wenn diese Organe zur Ausübung unmittelbarer Befehls- und Zwangsgewalt ermächtigt sind, und

4. sonstige Angehörige der Landespolizeidirektionen und des Bundesministeriums für Inneres, wenn diese Organe die Grundausbildung für den Exekutivdienst (Polizeigrundausbildung) absolviert haben und zur Ausübung unmittelbarer Befehls- und Zwangsgewalt ermächtigt sind.

(3) Der sicherheitspolizeiliche Exekutivdienst besteht aus dem Streifen- und Überwachungsdienst, der Ausübung der ersten allgemeinen Hilfeleistungspflicht und der Gefahrenabwehr mit den Befugnissen nach dem 3. Teil sowie aus dem Ermittlungs- und dem Erkennungsdienst.

(4) Der Streifendienst ist im Rahmen der Sprengel der Landespolizeidirektionen, insoweit diese für das Gebiet einer Gemeinde zugleich Sicherheitsbehörde erster Instanz sind, und der Bezirksverwaltungsbehörden sowie sprengelübergreifend innerhalb des Landes zu besorgen.

(5) Die Sicherheitsexekutive besteht aus den Sicherheitsbehörden und den diesen beigegebenen oder unterstellten Wachkörpern.

(6) Der Wachkörper Bundespolizei besteht aus den Bediensteten der Besoldungsgruppen Exekutivdienst und Wachebeamte sowie allen in vertraglicher Verwendung stehenden Exekutivbediensteten, unbeschadet der Zugehörigkeit zu einer bestimmten Dienststelle.

(7) Von den Landespolizeidirektionen sind zur Besorgung des Exekutivdienstes Einsatzzentralen zu unterhalten, die rund um die Uhr für Notrufe erreichbar sind und die Koordination von Einsätzen unterstützen.

Landespolizeidirektion als Sicherheitsbehörde erster Instanz für das Gebiet einer Gemeinde

§ 8. Die jeweilige Landespolizeidirektion ist zugleich Sicherheitsbehörde erster Instanz:

1. für das Gebiet der Gemeinden Eisenstadt und Rust;

2. für das Gebiet der Gemeinden Graz und Leoben;

3. für das Gebiet der Gemeinde Innsbruck;

4. für das Gebiet der Gemeinden Klagenfurt am Wörthersee und Villach;

5. für das Gebiet der Gemeinden Linz, Steyr und Wels;

6. für das Gebiet der Gemeinde Salzburg;

7. für das Gebiet der Gemeinden Sankt Pölten, Wiener Neustadt, Schwechat und die im Gebiet der Gemeinden Fischamend, Klein-Neusiedl und Schwadorf gelegenen Teile des Flughafens Wien-Schwechat;

8. für das Gebiet der Gemeinde Wien.

Bezirksverwaltungsbehörden

§ 9. (1) Sofern bundesgesetzlich nichts anderes bestimmt ist, obliegt die Sicherheitsverwaltung außerhalb des Gebietes jener Gemeinden, in dem eine Landespolizeidirektion zugleich Sicherheitsbehörde erster Instanz ist, den Bezirksverwaltungsbehörden, denen hierfür die Bezirks- und Stadtpolizeikommanden und deren Polizeiinspektionen unterstellt sind.

(2) Für die Bezirksverwaltungsbehörde versehen die ihnen unterstellten oder beigegebenen Organe des öffentlichen Sicherheitsdienstes den Exekutivdienst.

(3) Auf Antrag einer Gemeinde können die Angehörigen ihres Gemeindewachkörpers der Bezirksverwaltungsbehörde mit deren Zustimmung unterstellt werden, um sicherheitspolizeilichen Exekutivdienst (§ 5 Abs. 3) zu versehen. Die Unterstellung erfolgt mit Verordnung des Landespolizeidirektors und hat unter Bedachtnahme auf die Leistungsfähigkeit des Wachkörpers den Umfang der übertragenen Aufgaben (§§ 19 bis 27a) im einzelnen festzulegen. Die Unterstellung ist vom Landespolizeidirektor auf Antrag der Bezirksverwaltungsbehörde einzuschränken oder aufzuheben, soweit der Gemeindewachkörper die ihm übertragenen Aufgaben nicht erfüllt.

(4) Die Angehörigen des Gemeindewachkörpers versehen hierbei den Exekutivdienst, soweit er darin besteht, die erste allgemeine Hilfeleistungspflicht (§ 19) zu erfüllen, gefährlichen Angriffen durch Maßnahmen, die keinen Aufschub dulden, ein Ende zu setzen (§ 21 Abs. 2), hilflose Menschen und gewahrsamsfreie Sachen vorbeugend zu schützen (§ 22 Abs. 1 Z 1 und 4), wahrscheinlichen gefährlichen Angriffen bei Gewalt in Wohnungen vorzubeugen oder Streitfälle zu schlichten (§ 26) unmittelbar für die Bezirksverwaltungsbehörde. Dies gilt nicht, soweit bei der Erfüllung solcher Aufgaben das Gebiet der Gemeinde zu überschreiten oder aus anderem Grunde ein Zusammenwirken mit Angehörigen der Bundespolizei geboten ist; in solchen Amtshandlungen oder im Rahmen der Erfüllung anderer mit Verordnung gemäß Abs. 3 zugewiesener Aufgaben unterstehen die Angehörigen der Gemeindewachkörper dem Bezirks- oder Stadtpolizeikommando und haben es unverzüglich von der Amtshandlung in Kenntnis zu setzen.

Polizeikommanden

§ 10. (1) Im Bereich jeder Landespolizeidirektion hat der Bundesminister für Inneres Bezirks- oder Stadtpolizeikommanden samt deren Polizeiinspektionen einzurichten.

(2) Sofern dies für die bezirksüberschreitende Besorgung des Exekutivdienstes im Bereich einer Landespolizeidirektion erforderlich ist, kann der Bundesminister für Inneres auch unmittelbar der Landespolizeidirektion untergeordnete Polizeiinspektionen einrichten.

(3) Die Besorgung der Angelegenheiten des inneren Dienstes der Bezirks- oder Stadtpolizeikommanden und Polizeiinspektionen hat nach Maßgabe der den Bezirksverwaltungsbehörden obliegenden Anordnungsbefugnis im Rahmen der Besorgung der Sicherheitsverwaltung zu erfolgen und darf dieser nicht entgegenstehen.

(4) Organisatorische Maßnahmen im Bereich von Bezirks- oder Stadtpolizeikommanden sowie Polizeiinspektionen obliegen dem Landespolizeidirektor im Einvernehmen mit dem Landeshauptmann, soweit sie die Betrauung mit, die Abberufung von der Leitung eines Bezirks- oder Stadtpolizeikommandos oder einer Polizeiinspektion oder Versetzung ohne Änderung der dienstrechtlichen Stellung zum Gegenstand haben. Soweit die genannten Maßnahmen jedoch über den örtlichen Bereich eines Bundeslandes hinausgehen oder den Landespolizeidirektor betreffen, werden sie vom Bundesminister für Inneres getroffen.

Kanzleiordnung

§ 13. Die formale Behandlung der von den Landespolizeidirektionen zu besorgenden Geschäfte ist vom Bundesminister für Inneres jeweils in einer einheitlichen Kanzleiordnung festzulegen. Für die Landespolizeidirektion Wien können, soweit dies wegen der Größe dieser Behörde erforderlich ist, Abweichungen von der sonst für die Landespolizeidirektionen geltenden Kanzleiordnung vorgesehen werden.

Dokumentation

§ 13a. (1) Die Sicherheitsbehörden sind ermächtigt, sich bei der Dokumentation aller Amtshandlungen und Verwaltung von Dienststücken im Rahmen der Wahrnehmung gesetzlich übertragener Aufgaben der automationsunterstützten Datenverarbeitung zu bedienen. Die Löschung der Daten erfolgt nach Maßgabe der gesetzlichen Aufbewahrungs- oder sonstigen Skartierungspflichten.

(2) Die Akten im Dienste der Strafrechtspflege sind getrennt vom restlichen Aktenbestand zu führen, die Verarbeitung der kriminalpolizeilichen Daten ist nur nach Maßgabe der Strafprozessordnung 1975, BGBl. Nr. 631/1975, und für sicherheitspolizeiliche Zwecke gemäß § 53 Abs. 2 zulässig. Die Daten sind um Verständigungen zu Einstellungen, Freisprüchen und diversionellen Entscheidungen zu aktualisieren.

(3) Zum Zweck der Dokumentation von Amtshandlungen, bei denen die Organe des öffentlichen Sicherheitsdienstes Befehls- und Zwangsgewalt ausüben, ist der offene Einsatz von Bild- und Tonaufzeichnungsgeräten, sofern gesetzlich nicht anderes bestimmt ist, nach Maßgabe der Bestimmungen dieses Absatzes zulässig. Vor Beginn der Aufzeichnung ist der Einsatz auf solche Weise anzukündigen, dass er dem Betroffenen bekannt wird. Die auf diese Weise ermittelten personenbezogenen Daten dürfen nur zur Verfolgung von strafbaren Handlungen, die sich während der Amtshandlung ereignet haben, sowie zur Kontrolle der Rechtmäßigkeit der Amtshandlung ausgewertet werden. Bis zu ihrer Auswertung und Löschung sind die Aufzeichnungen gemäß den Bestimmungen des § 54 des Datenschutzgesetzes – DSG, BGBl. I Nr. 165/1999, vor unberechtigter Verarbeitung, insbesondere durch Protokollierung jedes Zugriffs und Verschlüsselung der Daten, zu sichern, sofern nicht Art. 32 DSGVO unmittelbar zur Anwendung kommt. Sie sind nach sechs Monaten zu löschen; kommt es innerhalb dieser Frist wegen der Amtshandlung zu einem Rechtsschutzverfahren, so sind die Aufzeichnungen erst nach Abschluss dieses Verfahrens zu löschen. Bei jeglichem Einsatz von Bild- und Tonaufzeichnungsgeräten ist besonders darauf zu achten, dass Eingriffe in die Privatsphäre der Betroffenen die Verhältnismäßigkeit (§ 29) zum Anlass wahren.

(4) Die Protokollaufzeichnungen gemäß § 50 DSG für Datenverarbeitungen nach Abs. 1 und 2 sind drei Jahre aufzubewahren und danach zu löschen.“

Die maßgebenden Bestimmungen des Bundesgesetzes vom 27. Juni 1979 über das Dienstrecht der Beamten (Beamten-Dienstrechtsgesetz 1979 – BDG 1979), derzeit in der Fassung BGBl. I Nr. 6/2023, lauten auszugsweise samt Überschrift:

„Dienstpflichten des Vorgesetzten und des Dienststellenleiters

§ 45. (1) Der Vorgesetzte hat darauf zu achten, daß seine Mitarbeiter ihre dienstlichen Aufgaben gesetzmäßig und in zweckmäßiger, wirtschaftlicher und sparsamer Weise erfüllen. Er hat seine Mitarbeiter dabei anzuleiten, ihnen erforderlichenfalls Weisungen zu erteilen, aufgetretene Fehler und Mißstände abzustellen und für die Einhaltung der Dienstzeit zu sorgen. Er hat das dienstliche Fortkommen seiner Mitarbeiter nach Maßgabe ihrer Leistungen zu fördern und ihre Verwendung so zu lenken, daß sie ihren Fähigkeiten weitgehend entspricht.

(1a) Die oder der Vorgesetzte hat im Falle eines drohenden Verfalls des Erholungsurlaubes gemäß § 69 oder eines absehbaren Ausscheidens einer Mitarbeiterin oder eines Mitarbeiters aus dem Dienststand oder aus dem Dienstverhältnis rechtzeitig, unmissverständlich und nachweislich darauf hinzuwirken, dass ihre oder seine Mitarbeiterinnen und Mitarbeiter den Erholungsurlaub in Anspruch nehmen können und auch in Anspruch nehmen.

(2) Der Leiter einer Dienststelle oder eines Dienststellenteiles hat außerdem für ein geordnetes Zusammenwirken der einzelnen ihm unterstehenden Organisationseinheiten zum Zwecke der Sicherstellung einer gesetzmäßigen Vollziehung sowie einer zweckmäßigen, wirtschaftlichen und sparsamen Geschäftsgebarung zu sorgen.

(3) Wird dem Leiter einer Dienststelle in Ausübung seines Dienstes der begründete Verdacht einer von Amts wegen zu verfolgenden gerichtlich strafbaren Handlung bekannt, die den Wirkungsbereich der von ihm geleiteten Dienststelle betrifft, so hat er dies, sofern er nicht ohnehin gemäß § 109 Abs. 1 vorzugehen hat, unverzüglich der zur Anzeige berufenen Stelle zu melden oder, wenn er selbst hiezu berufen ist, die Anzeige zu erstatten. Die Anzeigepflicht richtet sich nach § 78 der Strafprozessordnung 1975 (StPO), BGBl. Nr. 631.

(4) Keine Pflicht zur Meldung nach Abs. 3 besteht,

1. wenn die Meldung eine amtliche Tätigkeit beeinträchtigen würde, deren Wirksamkeit eines persönlichen Vertrauensverhältnisses bedarf, oder

2. wenn und solange hinreichende Gründe für die Annahme vorliegen, die Strafbarkeit der Tat werde binnen kurzem durch schadensbereinigende Maßnahmen entfallen.

Verjährung

§ 94. (1) Die Beamtin oder der Beamte darf wegen einer Dienstpflichtverletzung nicht mehr bestraft werden, wenn gegen sie oder ihn nicht

1. innerhalb von sechs Monaten, gerechnet von dem Zeitpunkt, zu dem der Disziplinarbehörde die Dienstpflichtverletzung zur Kenntnis gelangt ist, eine Disziplinarverfügung erlassen oder eine Anzeige an die Bundesdisziplinarbehörde erstattet wurde;

2. innerhalb von einem Jahr, gerechnet von dem Zeitpunkt, zu dem der Disziplinarbehörde die Dienstpflichtverletzung zur Kenntnis gelangt ist, vor der Bundesdisziplinarbehörde ein Disziplinarverfahren eingeleitet wurde;

3. innerhalb von drei Jahren, gerechnet von dem Zeitpunkt der Beendigung der Dienstpflichtverletzung, eine Disziplinarverfügung erlassen oder ein Disziplinarverfahren vor der Bundesdisziplinarbehörde eingeleitet wurde.

(1a) Drei Jahre nach der an den beschuldigten Beamten erfolgten Zustellung der Entscheidung, gegen ihn ein Disziplinarverfahren durchzuführen, darf eine Disziplinarstrafe nicht mehr verhängt werden.

(2) Der Lauf der in Abs. 1 und 1a genannten Fristen wird sofern der der Dienstpflichtverletzung zugrundeliegende Sachverhalt Gegenstand der Anzeige oder eines der folgenden Verfahren ist gehemmt

1. für die Dauer eines Verfahrens vor dem Verfassungsgerichtshof, dem Verwaltungsgerichtshof oder einem Verwaltungsgericht,

2. für die Dauer eines Verfahrens vor einem Verwaltungsgericht über Beschwerden von Personen, die behaupten, durch die Ausübung unmittelbarer verwaltungsbehördlicher Befehls- und Zwangsgewalt oder auf andere Weise in ihren Rechten verletzt worden zu sein,

3. für die Dauer eines Strafverfahrens nach der StPO oder eines bei einem Verwaltungsgericht oder einer Verwaltungsbehörde anhängigen Strafverfahrens,

4. für den Zeitraum zwischen der rechtskräftigen Beendigung oder, wenn auch nur vorläufigen, Einstellung eines Strafverfahrens und dem Einlangen einer diesbezüglichen Mitteilung bei der Dienstbehörde und

5. für den Zeitraum zwischen der Erstattung der Anzeige und dem Einlangen der Mitteilung

a) über die Beendigung des verwaltungsbehördlichen oder des gerichtlichen Verfahrens bzw. des Verfahrens vor dem Verwaltungsgericht,

b) der Staatsanwaltschaft über die Einstellung des Strafverfahrens oder

c) der Verwaltungsbehörde über das Absehen von der Einleitung eines Verwaltungsstrafverfahrens

bei der Dienstbehörde.

(2a) Der Lauf der in Abs. 1 genannten Fristen wird für die Dauer des nicht vor der Dienstbehörde geführten Teils eines dienstrechtlichen Feststellungsverfahrens, das der Klärung einer Vorfrage für die disziplinarrechtliche Verfolgung des der Dienstpflichtverletzung zugrundeliegenden Sachverhalts dient, bis zu seiner rechtskräftigen Beendigung gehemmt.

(3) Der Lauf der in Abs. 1 und 1a genannten Fristen wird weiters gehemmt in den Fällen des § 28 des Bundes-Personalvertretungsgesetzes (PVG), BGBl. Nr. 133/1967,

1. für den Zeitraum ab Antragstellung der Disziplinarbehörde auf Erteilung der Zustimmung bis zur Entscheidung durch das zuständige Organ der Personalvertretung,

2. für die Dauer eines Verfahrens vor der Personalvertretungsaufsichtsbehörde.

Im Verfahren vor der Bundesdisziplinarbehörde im PTA-Bereich und in der Fernmeldebehörde ist Z 1 anzuwenden.

(4) Hat der Sachverhalt, der einer Dienstpflichtverletzung zugrunde liegt, zu einer strafgerichtlichen Verurteilung geführt und ist die strafrechtliche Verjährungsfrist länger als die im Abs. 1 Z 3 genannte Frist, so tritt an die Stelle dieser Frist die strafrechtliche Verjährungsfrist.

Zusammentreffen von strafbaren Handlungen mit Dienstpflichtverletzungen

§ 95. (1) Wurde der Beamte wegen einer gerichtlich oder verwaltungsbehördlich strafbaren Handlung rechtskräftig verurteilt und erschöpft sich die Dienstpflichtverletzung in der Verwirklichung des strafbaren Tatbestandes, ist von der disziplinären Verfolgung des Beamten abzusehen. Erschöpft sich die Dienstpflichtverletzung nicht in der Verwirklichung des strafbaren Tatbestandes (disziplinärer Überhang), ist nach § 93 vorzugehen.

(2) Die Disziplinarbehörde ist an die dem Spruch eines rechtskräftigen Urteils zugrunde gelegte Tatsachenfeststellung eines Strafgerichtes (Straferkenntnis eines Verwaltungsgerichts) gebunden. Sie darf auch nicht eine Tatsache als erwiesen annehmen, die das Gericht (das Verwaltungsgericht) als nicht erweisbar angenommen hat.

Disziplinarbehörden

§ 96. Disziplinarbehörden sind

1. die Dienstbehörden und

2. die Bundesdisziplinarbehörde.

Zuständigkeit

§ 97. Zuständig sind

1. die Dienstbehörde zur vorläufigen Suspendierung und zur Erlassung von Disziplinarverfügungen hinsichtlich der Beamtinnen und Beamten ihres Zuständigkeitsbereiches und

2. die Bundesdisziplinarbehörde zur Erlassung von Disziplinarerkenntnissen und zur Entscheidung über Suspendierungen hinsichtlich aller Beamtinnen und Beamten des Bundes.

Disziplinarverfahren

Anwendung des AVG und des Zustellgesetzes

§ 105. Soweit in diesem Abschnitt nicht anderes bestimmt ist, sind auf das Disziplinarverfahren

1. das AVG mit Ausnahme der §§ 2 bis 4, 12, 39 Abs. 2a, §§ 41, 42, 44a bis 44g, 51, 57, 58a, 62 Abs. 3, §§ 63 bis 67, 68 Abs. 2 und 3, § 73 Abs. 2 und 3, §§ 75 bis 79 sowie

2. das Zustellgesetz – ZustG, BGBl. Nr. 200/1982,

anzuwenden.

Parteien

§ 106. Parteien im Disziplinarverfahren sind der Beschuldigte und der Disziplinaranwalt. Die Stellung als Partei kommt ihnen mit dem Zeitpunkt der Zustellung der Disziplinaranzeige zu.

Disziplinaranzeige

§ 109. (1) Der unmittelbar oder mittelbar zur Führung der Dienstaufsicht berufene Vorgesetzte (Dienstvorgesetzte) hat bei jedem begründeten Verdacht einer Dienstpflichtverletzung die zur vorläufigen Klarstellung des Sachverhaltes erforderlichen Erhebungen zu pflegen und sodann unverzüglich im Dienstwege der Dienstbehörde Disziplinaranzeige zu erstatten. Erweckt der Verdacht einer Dienstpflichtverletzung auch den Verdacht einer von Amts wegen zu verfolgenden gerichtlich strafbaren Handlung, so hat sich der Dienstvorgesetzte in dieser Eigenschaft jeder Erhebung zu enthalten und sofort der Dienstbehörde zu berichten. Diese hat gemäß § 78 StPO vorzugehen.

(2) Von einer Disziplinaranzeige an die Dienstbehörde ist abzusehen, wenn nach Ansicht der oder des Dienstvorgesetzten eine Belehrung oder Ermahnung ausreicht. Diese ist der Beamtin oder dem Beamten nachweislich mitzuteilen. Nach Ablauf von drei Jahren ab Mitteilung an die Beamtin oder den Beamten darf eine Belehrung oder Ermahnung zu keinen dienstlichen Nachteilen führen und sind die Aufzeichnungen über die Belehrung oder Ermahnung zu vernichten, wenn die Beamtin oder der Beamte in diesem Zeitraum keine weitere Dienstpflichtverletzung begangen hat.

(3) Die Dienstbehörde hat, sofern es sich nicht um eine Selbstanzeige handelt, eine Abschrift der Disziplinaranzeige unverzüglich dem Beschuldigten zuzustellen.

§ 110. (1) Auf Grund der Disziplinaranzeige oder des Berichtes der oder des Dienstvorgesetzten hat die Dienstbehörde

1. eine Disziplinarverfügung zu erlassen oder

2. die Disziplinaranzeige an die Leiterin oder den Leiter der Bundesdisziplinarbehörde und an die Disziplinaranwältin oder den Disziplinaranwalt weiterzuleiten.

(2) Die Dienstbehörde kann von der Erlassung einer Disziplinarverfügung oder der Weiterleitung der Disziplinaranzeige absehen, wenn das Verschulden geringfügig ist und die Folgen der Dienstpflichtverletzung unbedeutend sind. Die Beamtin oder der Beamte ist hiervon formlos zu verständigen.“

3.2. Zur datenschutzrechtlichen Rollenverteilung hinsichtlich der Verarbeitung von kriminalpolizeilichen Akten im Rahmen der Fachapplikation „PAD“:

3.2.1. Mit dem angefochtenen Bescheid hat die belangte Behörde die Datenschutzbeschwerde der Beschwerdeführer (auch) im Hinblick auf die behauptete Verletzung im Recht auf Löschung des kriminalpolizeilichen Aktes zur Zl. XXXX abgewiesen. Begründend geht die belangte Behörde hierzu davon aus, dass die Landespolizeidirektion für den in Rede stehenden Akt nicht als datenschutzrechtlich Verantwortliche anzusehen sei. Gemäß § 18 Abs. 2 StPO obliege die Kriminalpolizei nämlich den Sicherheitsbehörden, deren Organisation und örtliche Zuständigkeit sich nach den Vorschriften des Sicherheitspolizeigesetzes über die Organisation der Sicherheitsverwaltung richten; Sicherheitsbehörden nach § 4 SPG seien demnach der Bundesminister für Inneres, die Landespolizeidirektionen und — außerhalb der Gebiete für welche die Landespolizeidirektion zugleich Sicherheitsbehörde erster Instanz ist – die Bezirksverwaltungsbehörden; hieraus folge, dass die Bezirkshauptmannschaft XXXX als Sicherheitsbehörde für jene Datenverarbeitungen verantwortlich sei, die im Zusammenhang mit kriminalpolizeilichen Agenden vom Bezirkspolizeikommando vorgenommen werden und sei diese folglich auch für deren Skartierung [datenschutzrechtlich] Verantwortliche. Der diesbezüglichen Rechtsansicht der belangten Behörde war aus den nachstehenden Erwägungen nicht zu folgen.

3.2.2. Der vorliegende Sachverhalt – insoweit dieser die Verarbeitung des kriminalpolizeilichen Aktenvorganges zur Zl. XXXX im Rahmen der Besorgung der Kriminalpolizei betrifft – fällt in den sachlichen Anwendungsbereich der Richtlinie (EU) 680/2016 (in der Folge kurz: DSRL-PJ), deren Vorgaben im 3. Hauptstück des DSG (§§ 36ff) – und darüber hinaus in datenschutzrechtlichen Bestimmungen der Strafprozessordnung (StPO) – in nationales Recht umgesetzt wurde. Der Begriff „Verantwortlicher“ wird gemäß § 36 Abs. 2 Z 8 DSG [Art. 3 Z 8 DSRL-PJ] definiert als „die zuständige Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“ [Hervorhebungen durch das BVwG]. Die unionsrechtliche Bestimmung des Art. 3 Z 8 DSRL-PJ knüpft die Qualifikation als datenschutzrechtlich Verantwortliche bereits ihrem klaren und eindeutigen Gesetzeswortlaut nach an zwei (kumulativ zu erfüllende) Tatbestandsvoraussetzungen: „Verantwortlicher“ kann demnach nur sein a) die zuständige Behörde die zusätzlich b) allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Wie festgestellt, wurden die in Rede stehenden Informationen der Betroffenen im Zusammenhang mit dem kriminalpolizeilichen Aktenvorgang zur Zl. XXXX mittels der Fachapplikation „PAD“ – bei dieser handelt es sich um ein elektronisches Aktenverwaltungssystem für den Bereich der Dienststellen der Landespolizeidirektion(en) –, verarbeitet. So wurde der betreffende Akt von einem Organwalter der PI XXXX angelegt, als die Anzeige gegen die im zugrundeliegenden Vorfall vom XXXX 2007 als Verdächtige geführten Beschwerdeführer aktenmäßig protokolliert und in der Folge der örtlich zuständigen Staatsanwaltschaft übermittelt wurde. Wie festgestellt, hatte bzw. hat die Bezirkshauptmannschaft XXXX keinen Zugriff auf das elektronische Aktenverwaltungssystem „PAD“ und ist dieses im Bereich der IT-Infrastruktur der BH XXXX nicht verfügbar; dadurch hatte und hat die BH XXXX keine wie immer gearteten technischen Zugriffsmöglichkeiten auf elektronische Akteninhalte, die im Bereich der Kriminalpolizei im Rahmen von „PAD“ elektronisch verarbeitet werden. Dies gilt im Besonderen auch für den verfahrensgegenständlichen elektronischen Akt zur Zl. XXXX betreffend des Erst- und des Zweitbeschwerdeführers. Die Bezirkshauptmannschaft hat in der vorliegenden Fallkonstellation keine Möglichkeit, über die Mittel der Datenverarbeitung – hier das Aktenverwaltungssystem PAD – in welcher Form auch immer zu bestimmen. Daran ändert auch der rechtliche Umstand nichts, wonach der Bezirkshauptmannschaft XXXX gemäß § 18 Abs. 2 StPO iVm § 4 Abs. SPG – der Struktur der Sicherheitsverwaltung folgend – auch die Kriminalpolizei obliegt, denn letztlich ist die Bezirkshauptmannschaft auch im Bereich der Kriminalpolizei der Landespolizeidirektion (nur) nachgeordnet. Das elektronische Aktenprotokollierungssystem PAD liegt jedenfalls außerhalb der Einflusssphäre der Bezirksverwaltungsbehörde. Die Bezirksverwaltungsbehörde hat auch keinerlei Mitspracherecht darüber, ob und welches elektronische Aktenverwaltungssystem bei den Dienststellen der Landespolizeidirektionen eingesetzt wird.

3.2.3. Aus alldem folgt in datenschutzrechtlicher Hinsicht aber, dass die BH XXXX – auch wenn diese funktional als Sicherheitsbehörde gemäß § 18 Abs. 2 StPO iVm §§ 4 Abs. 2 und 9 SPG auch die Kriminalpolizei besorgt – nicht über die Mittel der Datenverarbeitung, hier also die Fachapplikation „PAD“, für die elektronische Aktenverwaltung verfügt oder über diese bestimmt. Damit entscheidet die BH XXXX eindeutig nicht über die Mittel der Verarbeitung von personenbezogenen Daten im Sinne der Tatbestandsvoraussetzung des § 36 Abs. 2 Z 8 DSG bzw. Art. 3 Z 8 DSRL-PJ. Wie festgestellt, handelt es sich bei der Fachapplikation „PAD“ um eine Software- und Datenbanklösung, die von den Landespolizeidirektionen eingesetzt wird und vom Bundesministerium für Inneres als Auftragsverarbeiter technisch betrieben und bereitgestellt wird. Wenn eine Stelle – wie im vorliegenden Fall die BH XXXX – in tatsächlicher Hinsicht über die Mittel zur Datenverarbeitung nicht verfügt bzw. auf diese keinerlei Einfluss nehmen kann, kann diese auch nicht als für die Verarbeitung Verantwortlicher angesehen werden. Denn wie sollte die BH XXXX einen elektronischen Akt löschen, auf den sie nicht einmal einen Lesezugriff hat, da es ihr an der hierfür erforderlichen IT-Anwendung- und Serveranbindung fehlt. Die Rolle des datenschutzrechtlich Verantwortlichen in der gegenständlichen Fallkonstellation von den organisationsrechtlichen Bestimmungen des § 18 StPO iVm § 4 Abs. 2 und 9 SPG abzuleiten, liefe auch dem von den datenschutzrechtlichen Vorgaben verfolgten Regelungszweck, der mit der Rolle eines Verantwortlichen im Sinne von Art. 3 Z 8 DSRL-PJ verfolgt wird, gänzlich zuwider. So hat ein datenschutzrechtlich Verantwortlicher – sowohl nach dem Konzept der DSRL-PJ als auch der DSGVO – sämtliche ihm zufallenden objektiven Pflichten – dazu zählen insbesondere die Verarbeitungsgrundsätze der Recht- und Verhältnismäßigkeit –, einzuhalten sowie den Betroffenen gegenüber deren subjektive Rechte – insbesondere auf Auskunft, Richtigstellung und Löschung –, zu erteilen. Ordnete man die Rolle des Verantwortlichen – wie dies hier von der belangten Behörde erfolgt – einer Stelle zu, die keinerlei Verfügungsmacht über die Mittel zur Verarbeitung der personenbezogenen Daten der Betroffenen hat, hindert dies die Betroffenen an deren Rechteausübung. Dieser Umstand wird anhand des vorliegenden Sachverhaltes auch deutlich sichtbar. So wandten sich der Erst- und der Zweitbeschwerdeführer mit einem Antrag auf Löschung an die BH XXXX , diese konnte jedoch zunächst keine Angaben dahingehend machen, ob der betreffende kriminalpolizeiliche Aktenvorgang zur Zl. XXXX tatsächlich je aus dem „PAD“ gelöscht wurde; vielmehr war die BH XXXX gezwungen, bei der Polizeiinspektion XXXX Erkundigungen einzuholen, woraufhin die PI XXXX die Auskunft erteilte, der betreffende Aktenvorgang sei bereits gelöscht. Ob dies den tatsächlichen Gegebenheiten entsprach oder nicht, konnte die BH XXXX naturgemäß nicht nachvollziehen, sondern musste lediglich auf die Angaben der PI XXXX vertrauen, selbst Einsicht nehmen in das Aktensystem und eine Abfrage zur betreffenden Aktenzahl zu tätigen, war der BH XXXX technisch nicht möglich.

3.2.4. Im Ergebnis ist daher festzustellen, dass die Rolle des datenschutzrechtlich Verantwortlichen (§ 36 Abs. 2 Z 8 DSG, Art. 3 Z 8 DSRL-PJ) für die Verarbeitung des kriminalpolizeilichen Aktenvorganges zur Zl. XXXX bei der Landespolizeidirektion XXXX liegt. Dies deshalb, da nur im Bereich der Dienststellen der Landespolizeidirektion XXXX , näherhin der PI XXXX und dem BPK XXXX , auf das elektronische Aktenverwaltungssystem PAD Zugriff genommen werden kann, der betreffende Akt von einem Organwalter der PI XXXX angelegt bzw. verarbeitet wurde. Selbst die für den Bereich der Landespolizeidirektionen erlassmäßigen Vorgaben weisen die Verantwortung für die Skartierung kriminalpolizeilicher Akten dem jeweiligen Leiter der den Akt führenden Polizeidienststelle zu. Auch der Verwaltungsgerichtshof hat in mehreren Erkenntnissen – wenn auch noch zum DSG 2000 – festgehalten, dass Eintragungen im Protokollbuch, auf einer Indexkarteikarte oder in einem elektronischen Aktendokumentationssystem dem inneren Dienst zuzuordnen seien (vgl. das Erkenntnis vom 18.03.2022, Rz. 24, mwN).

3.3. Zur (fraglichen) Löschung des Aktenvorganges zur Zl. XXXX aus dem elektronischen Aktenverwaltungssystem PAD:

3.3.1. Da wie vorstehend ausgeführt, die mitbeteiligte Partei – und nicht wie von der belangten Behörde angenommen die Bezirksverwaltungsbehörde – für die in Rede stehende Verarbeitung des kriminalpolizeilichen Aktenvorganges im Rahmen des elektronischen Aktenprotokollierungssystems PAD als Verantwortliche im Sinne von § 36 Abs. 2 Z 8 DSG zu qualifizieren ist, war im verwaltungsgerichtlichen Verfahren zu prüfen, ob die personenbezogenen Daten betreffend den kriminalpolizeilichen Akt zur Zl. XXXX von der Verantwortlichen tatsächlich im Sinne der Vorgaben der § 45 Abs. 2 Z 1 DSG iVm §§ 5, 74 und 75 StPO aus dem PAD gelöscht wurden, nachdem diese für den Zweck, für den sie verarbeitet wurden, nicht mehr erforderlich waren. Wie der Verfassungsgerichtshof in diesem Zusammenhang wiederholt ausgesprochen hat, ist ein Gesetz, das eine Beschränkung des Grundrechts auf Datenschutz zulässt, in Zusammenschau mit den allgemeinen Grundsätzen über die Verwendung von Daten gemäß dem DSG und der sich aus dem Gesetzesvorbehalt des § 1 Abs. 2 DSG ergebenden Grenzen der Datenverwendung nach Maßgabe des Verhältnismäßigkeitsgrundsatzes so zu verstehen, dass im Einzelfall eine angemessene Abwägung und Gewichtung des Interesses des Betroffenen an der Geheimhaltung bzw. Löschung seiner personenbezogenen Daten und dem Interesse des Staates am Fortbestehen des Eingriffs durch Fortsetzung der Speicherung vorzunehmen ist, um den Grundrechtsverbürgungen des § 1 DSG iZm Art 8 Abs. 2 EMRK zu genügen (vgl. VfSlg. 16.149/2001, 16.150/2001, 18.146/2007, 18.963/2009). Wird ein Angeklagter – wie hier im Fall des Erst- und des Zweitbeschwerdeführers – rechtskräftig freigesprochen, so sind diese Daten jedenfalls zu löschen, da ab diesen Zeitpunkt die Daten nicht mehr für den ursprünglichen Verwendungszweck (Führung des Strafverfahrens) benötigt werden (vgl. Kristoferitsch/Bugelnig in Fuchs/Ratz, WK StPO, § 75, Rz. 14).

3.3.2. Wie festgestellt, erging im strafgerichtlichen Verfahren, dem die Fakten der kriminalpolizeilichen Anzeige zur Zl. XXXX gegen den Erst- und Zweitbeschwerdeführer zugrunde lagen, im Jänner 2008 jeweils Freisprüche gegen den Erst- und den Zweitbeschwerdeführer. Dafür, dass der kriminalpolizeiliche Akt zur Zl. XXXX im Rahmen des elektronischen Aktenprotokollierungssystem PAD bis zur Einleitung des Disziplinarverfahrens gegen XXXX im Mai 2020 gespeichert war, sind im verwaltungsgerichtlichen Verfahren keine tragfähigen Hinweise hervorgekommen, wodurch vom erkennenden Senat davon auszugehen war, dass der betreffende kriminalpolizeiliche Aktenvorgang nach erfolgter Freisprüche routinemäßig aus dem PAD gelöscht wurde. So wurde vom Erst- und vom Zweitbeschwerdeführer auch nicht behauptet – und sind hierfür auch keine Beweise hervorgekommen – dass die sie betreffenden Aktenunterlagen aus dem in Rede stehenden kriminalpolizeilichen Aktenvorgang direkt aus dem PAD in den Disziplinarakt betreffend XXXX übernommen wurden. Unstrittig war lediglich, dass physische Aktenbestandteile im Jahr 2020 in den Verfügungsbereich des BPK gelangten und vom Kommandanten dem Disziplinarakt betreffend XXXX beigefügt wurden. Letzterer Umstand wird im Folgenden datenschutzrechtlich mit Blick auf § 1 DSG zu beurteilen sein (vgl. unter 3.4.).

3.3.3. Festzustellen war jedoch, dass die mitbeteiligte Partei gegen ihre objektiven Pflichten als datenschutzrechtlich Verantwortliche gemäß der §§ 37 Abs. 3, 50 Abs. 1, 2 und 5 DSG verstoßen hat, da keinerlei Protokolldaten, aus welchen der genaue Zeitpunkt der erfolgten Löschung des Aktes zur Zl. XXXX aus dem PAD hervorgeht, vorgelegt werden konnten (vgl. hierzu auch den 56. Erwägungsgrund zur DSRL-PJ, wo es heißt: „In automatisierten Verarbeitungssystemen werden zumindest über folgende Verarbeitungsvorgänge Protokolle geführt: Erhebung, Veränderung, Abfrage, Offenlegung einschließlich Übermittlungen, Kombination oder Löschung. Die Identifizierung der Person, die personenbezogene Daten abgefragt oder offengelegt hat, sollte protokolliert werden und aus dieser Identifizierung sollte sich die Begründung für die Verarbeitungsvorgänge ableiten lassen. Die Protokolle sollten ausschließlich zum Zwecke der Überprüfung der Rechtmäßigkeit der Datenverarbeitung, der Eigenüberwachung, der Sicherstellung der Integrität und Sicherheit der Daten sowie für Strafverfahren verwendet werden. Die Eigenüberwachung umfasst auch interne Disziplinarverfahren der zuständigen Behörden.“). Aus diesem – wenn auch klarem – Verstoß gegen die objektiven Pflichten der mitbeteiligten Partei als datenschutzrechtlich Verantwortliche leitet sich jedoch noch nicht zwingend eine Verletzung der Betroffenen in deren subjektiven Rechten, hier in deren Recht auf Löschung gemäß § 45 Abs. 2 DSG, ab.

3.4. Zur Verwendung der Aktenbestandteile des kriminalpolizeilichen Aktes mit der Zl. XXXX im Zuge der Einleitung eines Disziplinarverfahrens gegen XXXX im Jahr 2020 durch den Bezirkspolizeikommandanten des BPK XXXX und weiterer Organwalter der LPD XXXX als datenschutzrechtlich Verantwortlicher:

3.4.1. Unstrittig ist, dass die verfahrensgegenständlichen Aktenbestandteile zum kriminalpolizeilichen Akt mit der Zl. XXXX , aus diesen gehen Informationen betreffend eines Strafverfahrens gegen den Erst- und den Zweitbeschwerdeführer (und weiterer Personen) hervor, das hinsichtlich beider (hier) Betroffener mit Freisprüchen des zuständigen Strafgerichtes im Jänner 2008 erledigt wurde, vom Kommandanten des BPK im Zuge der Erstellung einer Disziplinaranzeige gemäß § 109 BDG im Jahr 2020, dieses richtete sich – soweit hier von Relevanz – gegen XXXX , dem betreffenden Disziplinarakt beigeschlossen wurde und in Folge von der innerhalb der LPD XXXX zuständigen Personalstelle an die Bundesdisziplinarbehörde übermittelt wurde.

Unstrittig ist weiters, dass der Erst- und der Zweitbeschwerdeführer in diesem Disziplinarverfahren weder als Zeuge, noch als Beschuldigter oder sonst Beteiligte verfangen waren. Wie festgestellt, gelangten die betreffenden kriminalpolizeilichen Aktenbestandteile zuvor im Jahr 2020 in physischer Form in den Verfügungsbereich des BPK.

3.4.2. Der Kommandant des BPK hat – seinen eigenen Angaben zufolge – keinerlei inhaltliche Prüfung der betreffenden Dokumente dahingehend vorgenommen, ob die darin enthaltenen Informationen im Rahmen der Einleitung und Führung eines Disziplinarverfahrens gegen XXXX erforderlich gewesen sind.

3.4.3. Hierzu war zunächst festzustellen, dass gemäß § 109 Abs. 1 BDG der unmittelbar oder mittelbar zur Führung der Dienstaufsicht berufene Vorgesetzte (Dienstvorgesetzte) bei jedem begründeten Verdacht einer Dienstpflichtverletzung die zur vorläufigen Klarstellung des Sachverhaltes erforderlichen Erhebungen zu pflegen und sodann unverzüglich im Dienstwege der Dienstbehörde Disziplinaranzeige zu erstatten hat. Erweckt der Verdacht einer Dienstpflichtverletzung auch den Verdacht einer von Amts wegen zu verfolgenden gerichtlich strafbaren Handlung, so hat sich der Dienstvorgesetzte in dieser Eigenschaft jeder Erhebung zu enthalten und sofort der Dienstbehörde zu berichten. Zur fraglichen Zeit war der Kommandant des BPK jedenfalls der in Bezug auf XXXX zuständige Dienstvorgesetzte. In dieser Eigenschaft erlangte er Kenntnis vom Verdacht von Dienstpflichtverletzungen des XXXX , indem diesbezüglich anonyme Hinweise beim BPK und anderen Stellen im Bereich der LPD XXXX einlangten. Aus dem eindeutigen Wortlaut der Bestimmung des § 109 Abs. 1 BDG folgt – bezogen auf den vorliegenden Fall – die Pflicht des Kommandanten des BPK, dass dieser die zur vorläufigen Klarstellung des Sachverhaltes erforderlichen Erhebungen zu pflegen und sodann unverzüglich im Dienstwege der Dienstbehörde (hier der LPD XXXX ) Disziplinaranzeige zu erstatten hatte.

3.4.4. Bereits aus Anlass der Führung der Vorerhebungen hinsichtlich der im Raum stehenden Dienstpflichtverletzungen des XXXX wäre der Kommandant des BPK verpflichtet gewesen, die bei ihm einlangenden Aktenbestandteile aus dem kriminalpolizeilichen Akt zur Zl. XXXX , wenn diese neben XXXX sowohl den Erst- und den Zweitbeschwerdeführer, aber auch weitere Personen, die an den zugrundeliegenden Vorfällen im September 2007 beteiligt waren, betreffen, inhaltlich zu prüfen. Denn wie sonst hätte der Kommandant des BPK beurteilen sollen, ob die betreffenden Dokumente für das von ihm zu bearbeitende Disziplinarverfahren relevant waren und denkmöglich ein sachlicher Zusammenhang mit den zu prüfenden Vorwürfen gegen XXXX bestehen konnte. Das diesbezügliche Vorbringen des Kommandanten des BPK, wonach er keine rechtliche und tatsächliche Veranlassung zur inhaltlichen Prüfung der in Rede stehenden Aktenstücke im Zuge der Führung der Vorerhebungen und Erstattung einer Disziplinaranzeige gesehen habe, kann dabei auch vor dem Hintergrund der Verjährungsbestimmung des § 94 Abs. 1 und Abs. 2 Z 3 BDG nicht nachvollzogen werden. Denn selbst, wenn die in den fraglichen kriminalpolizeilichen Aktenbestandteilen zur Zl. XXXX enthaltenen Informationen ausschließlich die Person des XXXX betroffen hätten, hätten die dort dokumentierten Fakten, sofern diese strafrechtliche Vorwürfe gegen XXXX zum Gegenstand hatten, von welchen dieser wiederum mit Urteil des zuständigen Strafgerichtes im Jahr 2008 freigesprochen wurde, im Jahr 2020 keinesfalls mehr im Rahmen eines Disziplinarverfahrens verwertet werden dürfen.

3.4.5. Das Vorbringen des Kommandanten des BPK, wonach dieser schlicht die Weisung der ihm vorgesetzten Stellen der LPD XXXX zur umfassenden Klärung des Sachverhaltes hinsichtlich der gegen XXXX im Raum stehenden disziplinarrechtlichen Vorwürfe zu befolgen hatte und er dabei keinesfalls befugt gewesen sei, sachdienliche Beweismittel zurückzuhalten, war lediglich als rechtlich nicht relevantes Schutzvorbringen zu werten. Vielmehr wäre der Kommandant des BPK im vorliegenden Zusammenhang aufgrund seiner Pflichten als Dienstvorgesetzter gemäß § 45 Abs. 3 und § 109 Abs. 1 BDG verpflichtet gewesen, die vorliegende Aktenlage vollinhaltlich dahingehend zu prüfen, welche Aktenbestandteile denkmöglich geeignet und erforderlich waren, die Vorwürfe hinsichtlich allfälliger Dienstpflichtverletzungen des XXXX festzustellen oder zu entkräften. Kriminalpolizeiliche Akteninhalte, die nicht die Person des XXXX betreffen, wären dabei jedenfalls auszusondern oder unkenntlich zu machen gewesen, ebenso wie Aktenbestandteile, die zwar XXXX betreffen, sich jedoch in zeitlicher Hinsicht auf Vorfälle beziehen, die aufgrund der Verjährungsregeln des § 94 BDG in einem Disziplinarverfahren im Jahr 2020 nicht mehr berücksichtigt werden durften. Durch die Unterlassung all dessen hat der Kommandant des BPK in dessen Eigenschaft als gemäß § 109 Abs. 1 BDG zuständiges Organ völlig ungeprüft Aktenbestandteile, die strafrechtliche Informationen des Erst- und des Zweitbeschwerdeführers sowie weiterer Personen enthalten, die mit dem Disziplinarverfahren des XXXX nicht einmal denkmöglich in Zusammenhang stehen, in das Disziplinarverfahren eingebracht und dadurch die enthaltenen strafrechtlichen Informationen auf unrechtmäßige Weise offengelegt. Die diesbezüglichen Handlungen und Unterlassungen des Kommandanten des BPK waren aus Sicht des erkennenden Senates als grob sorgfaltswidrig zu qualifizieren und legen ein auffallend hohes Maß an Unkenntnis bzw. Missachtung einschlägiger datenschutzrechtlicher Vorgaben offen.

3.4.6. Dies insbesondere vor dem Hintergrund, dass dem Kommandanten des BPK in seiner Funktion als Dienststellenleiter die rechtlichen Grundlagen seines Handelns im Bereich des Dienst- und Disziplinarrechts bekannt sein und ihm im Falle der Führung von Erhebungen gemäß § 109 Abs. 1 BDG bewusst sein hätte müssen, dass selbstverständlich – wie im Falle jedes anderen rechtsstaatlichen Verfahrens auch – ausschließlich Informationen zum Akt zu nehmen sind, die für die Klärung des maßgeblichen Sachverhaltes – hier die Feststellung oder Entkräftung im Raum stehender Dienstpflichtverletzungen des XXXX – erforderlich waren. Einem mit der Erfüllung derartiger behördlicher Aufgaben betrautem Bediensteten muss dabei jedenfalls bewusst sein, dass Aktenbestandteile, die sich auf im konkreten (Disziplinar-)Verfahren völlig unbeteiligte Personen beziehen und die – wie im vorliegenden Fall – sogar personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO betreffen, nicht zum Akt genommen werden dürfen.

3.4.7. Das Verhalten des Kommandanten des BPK ist der mitbeteiligten Partei als datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO zuzurechnen. Als datenschutzrechtlich Verantwortliche des öffentlichen Bereiches sind Eingriffe der mitbeteiligten Partei (in deren Eigenschaft als (Dienst-)Behörde in das verfassungsgesetzlich gewährleistete Recht auf Geheimhaltung nach § 1 DSG – abgesehen vom bestehen lebenswichtiger Interessen – ausschließlich aufgrund einer qualifizierten gesetzlichen Grundlage, im erforderlichen Ausmaß und auf verhältnismäßige Art und Weise zulässig (§ 1 Abs. 2 DSG iVm Art. 6 Abs. 1 lit. e DSGVO, vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 4, Stand 1.2.2022, Rz 19). Der Kommandant des BPK hat die personenbezogenen Daten der Beschwerdeführer im Rahmen eines Disziplinarverfahrens (§§ 109, 110 BDG) verarbeitet; hierzu ist zunächst festzuhalten, dass Disziplinarverfahren stellt Sonderverwaltungsstrafrecht dar. Verwaltungsstrafverfahren allgemein fallen nicht in den Anwendungsbereich der Richtlinie (EU) 2016/680 (DSRL-PJ) und damit auch nicht in den Anwendungsbereich des 3. Hauptstück des Datenschutzgesetz (vgl. Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG, § 36 Rz 2).

Art. 6 Abs. 1 der DSGVO enthält eine abschließende Aufzählung der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in diesen Bestimmungen vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (vgl. in diesem Sinne das Urteil des EuGH vom 22.06.2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, Rn. 99 und die dort angeführte Rechtsprechung). Nach Art. 6 Abs. 1 lit. e DSGVO ist die Verarbeitung (nur) dann rechtmäßig, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Art. 6 Abs. 3 der DSGVO stellt in Bezug auf diese beiden Fälle der Rechtmäßigkeit klar, dass die Verarbeitung auf dem Unionsrecht oder dem Recht der Mitgliedstaaten beruhen muss, dem der Verantwortliche unterliegt, und dass die betreffende Rechtsgrundlage ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen muss. Da diese Anforderungen Ausfluss der Vorgaben sind, die sich aus Art. 52 Abs. 1 der Charta ergeben, sind sie im Licht der letztgenannten Bestimmung auszulegen. Demnach können Einschränkungen vorgesehen werden, sofern sie gemäß Art. 52 Abs. 1 der Charta gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren. Nach diesem Grundsatz dürfen Einschränkungen nur vorgenommen werden, wenn sie erforderlich sind und den von der Union anerkannten dem Gemeinwohl dienenden Zielsetzungen oder den Erfordernissen des Schutzes der Rechte und Freiheiten anderer tatsächlich entsprechen. Sie müssen sich auf das absolut Notwendige beschränken, und die den Eingriff enthaltende Regelung muss klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen (vgl. erneut das Urteil des EuGH vom 22.06.2021, C‑439/19, Rn. 105 und die dort angeführte Rechtsprechung).

3.4.8. Fallbezogen ist festzuhalten, dass die mitbeteiligte Partei den Erst- und den Zweitbeschwerdeführer bereits dadurch im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt hat, indem sie betreffende kriminalpolizeiliche Aktenbestandteile zur Zl. XXXX auf Ebene des Kommandanten des BPK im Jahr 2020 anlässlich der Vorerhebungen zur Erstattung einer Disziplinaranzeige und Übermittlung derselben an die Dienstbehörde, dem Akt zum Disziplinarverfahren gegen XXXX hinzugefügt hat.

3.4.9. Indem Organwalter der für Personal- und Disziplinarangelegenheiten zuständigen Fachabteilung der mitbeteiligten Partei das gesamte Aktenkonvolut, das vom Kommandanten des BPK im Rahmen einer Disziplinaranzeige betreffend disziplinarrechtlicher Vorwürfe gegen XXXX erstellt und vorgelegt wurde, wobei der Akt (auch) die kriminalpolizeilichen Aktenbestandteile betreffend den Erst- und den Zweitbeschwerdeführer zur Zl. XXXX enthielt, an die Bundesdisziplinarbehörde übermittelt haben, ohne die betreffenden Aktenbestandteile dahingehend zu prüfen, ob aus diesen Informationen betreffend nicht am Disziplinarverfahren beteiligter Personen hervorgehen und diese auszusondern oder unkenntlich zu machen, sowie ohne eine inhaltliche Prüfung der Aktenbestandteile dahingehend vorzunehmen, ob die darin enthaltenen Informationen denkmöglich geeignet waren, den maßgeblichen Sachverhalt in Bezug auf die disziplinarrechtlichen Vorwürfe gegen XXXX zu ermitteln, hat die mitbeteiligte Partei den Erst- und den Zweitbeschwerdeführer ein weiteres Mal im Recht auf Geheimhaltung verletzt. Das Vorbringen der Vertreter der für Personal- und Disziplinarangelegenheiten zuständigen Fachabteilung der mitbeteiligten Partei in deren Eigenschaft als Dienstbehörde, wonach das Aktenkonvolut aufgrund dessen Umfanges und eines bestehenden Zeitdruckes inhaltlich ungeprüft an die Bundesdisziplinarbehörde übermittelt wurde, erklärt dabei zwar das Verhalten der betreffenden Organwalter der mitbeteiligten Partei, rechtfertigt dieses jedoch nicht. Die handelnden Organwalter hätten unter Beachtung der Vorgaben des § 1 Abs. 2 DSG (in Verbindung mit Art. 6 Abs. 1 lit. c und lit. e DSGVO) bei der Erfüllung der ihnen zukommenden Aufgaben, hier insbesondere der Erhebungen und Aktenführung im Zusammenhang mit der Erstattung einer Disziplinaranzeige an die Bundesdisziplinarbehörde (§ 110 Abs. 1 Z 2 BDG) oder Erlassung einer Disziplinarverfügung (§ 110 Abs. 1 Z 1 BDG), sicherstellen müssen, dass dem Disziplinarakt ausschließlich Informationen beigeschlossen werden, die geeignet und erforderlich waren, die in Rede stehenden Dienstpflichtverletzungen des XXXX festzustellen oder zu entkräften. Insbesondere auch mit Blick auf die Ermessensbestimmung des § 110 Abs. 2 BDG, wonach die Dienstbehörde von der Erlassung einer Disziplinarverfügung oder der Weiterleitung der Disziplinaranzeige absehen kann, wenn das Verschulden geringfügig ist und die Folgen der Dienstpflichtverletzung unbedeutend sind, war festzustellen, dass die Vertreter der Dienstbehörde den vom Kommandanten des BPK vorgelegten Akteninhalt vollinhaltlich zu prüfen gehabt hätten, um vom Auswahlermessen des § 110 Abs. 2 BDG überhaupt Gebrauch machen zu können. Auch im Zuge dieser gesetzlichen Obliegenheit hätten die Organwalter der mitbeteiligten Partei als Vertreter der Dienstbehörde Aktenbestandteile, die sich auf Strafverfahren nicht am Disziplinarverfahren beteiligter Dritter beziehen, auszusondern oder unkenntlich zu machen gehabt.

3.4.10. Im vorliegenden Fall ist es aus Sicht des erkennenden Senates nicht nachvollziehbar, weshalb die Organwalter der mitbeteiligten Partei, dieser kommen als Dienstbehörde umfassende gesetzliche Aufgaben im Bereich des Dienst- und Disziplinarrechts zu (vgl. nur §§ 96, 97, 109 und 110 BDG), den Inhalt eines Disziplinaraktes nahezu ungeprüft weiterleiten, ohne sich selbst ein umfassendes Bild von der vorliegenden Aktenlage zu verschaffen. Dabei wäre von den hier handelnden Personen aus dem Kreis einer Landespolizeidirektion, die regelmäßig mit der Verwendung strafrechtlich relevanter Informationen sowie dienst- und disziplinarrechtlicher Sachverhalte betraut sind, ein besonders sorgfältiger Umgang mit personenbezogenen Daten Betroffener zu erwarten. Durch die zuvor beschriebenen Handlungen und Unterlassungen hat die mitbeteiligte Partei personenbezogene Daten in Bezug auf ein Strafverfahren, das gegen den Erst- und den Zweitbeschwerdeführer geführt wurde, entgegen der Vorgaben des § 1 Abs. 2 DSG iVm Art. 6 Abs. 1 lit. c und e DSGVO auf unrechtmäßige Weise verwendet und der Bundesdisziplinarbehörde gegenüber offengelegt.

3.4.11. Die belangte Behörde vertritt hierzu im Rahmen der Bescheidbegründung unter Verweis auf ihre eigene Spruchpraxis zum sogenannten „Übermaßverbot“ sowie Judikatur des Verfassungsgerichtshofes zu Art. 83 B-VG die Rechtsauffassung, wonach ein Beschwerdebegehren das darauf gerichtet sei, der zuständigen Behörde die Ermittlung von Daten oder Verwendung von Beweismitteln zu verbieten, die diese zur Feststellung eines von ihr zu ermittelnden Sachverhalts zu benötigen glaubt bewirkte, dass die Datenschutzbehörde - zumindest teilweise - an die Stelle der sachlich zuständigen Behörde träte und im Umwege über den Abspruch über die Zulässigkeit von Sachverhaltsermittlungen eine sachliche Allzuständigkeit arrogierte; dies – so die Rechtsauffassung der belangten Behörde weiter – könne angesichts des Grundsatzes der festen Zuständigkeitsverteilung zwischen staatlichen Organen und dem Grundrecht auf ein Verfahren vor dem gesetzlichen Richter nicht zulässig sein und gehe die belangte Behörde daher davon aus, dass ihre Zuständigkeit zur Beurteilung der Zulässigkeit der Datenermittlung in Verwaltungsverfahren auf das Übermaßverbot beschränkt bleibe. Wenn es denkmöglich sei, dass die von einer in der Sache zuständigen Behörde ermittelten Daten nach Art und Inhalt für die Feststellung des relevanten Sachverhalts geeignet wären, wäre die Zulässigkeit der Ermittlung aus datenschutzrechtlicher Sicht gegeben; die Inanspruchnahme einer tiefer gehenden Beurteilung der Eignung der von der sachlich zuständigen Behörde gewählten Ermittlungsschritte bewirkte einen Eingriff in die sachliche Zuständigkeit der ermittelnden Behörde, der gegen das aus dem Recht auf ein Verfahren vor dem gesetzlichen Richter abzuleitende Prinzip der präzisen Abgrenzung der Behördenzuständigkeit nach objektiven Kriterien, in exakter und eindeutigen Weise verstoße. Im vorliegenden Fall sei der Dienstvorgesetzte dazu verpflichtet gewesen, die zur vorläufigen Klarstellung des Sachverhaltes notwendigen Erhebungen zu pflegen und an die Dienstbehörde weiterzuleiten. Ebenso sei der Dienstbehörde in weiterer Folge die Verpflichtung zur Weiterleitung an die Bundesdisziplinarbehörde zugekommen.

3.4.12. Im Ergebnis vertritt die belangte Behörde die Rechtsansicht, dass die durch die mitbeteiligte Partei weitergeleiteten Daten, sohin der zur Aktenzahl XXXX geführte Akt, jedenfalls […] denkmöglich nach Art und Inhalt für die Feststellung des relevanten Sachverhalts geeignet gewesen sei.

3.4.13. Der erkennende Senat vermag sich diesem Ergebnis jedoch nicht anzuschließen: Es ist der belangten Behörde zwar insoweit zuzustimmen, dass einer Verwaltungsbehörde, wenn diese im Rahmen der ihr übertragenen gesetzlichen Aufgaben für die Führung eines Ermittlungsverfahrens zur Klärung des von dieser rechtlich zu beurteilenden Sachverhaltes zuständig ist, von der Datenschutzbehörde aus Anlass eines aufsichtsbehördlichen Verfahrens im Sinne von § 24 DSG grundsätzlich keine (bescheidmäßigen) Vorgaben hinsichtlich der in Betracht kommenden Beweismittel erteilt werden können. Als datenschutzrechtlich Verantwortliche des öffentlichen Bereiches sind Eingriffe der mitbeteiligten Partei in das verfassungsgesetzlich gewährleistete Recht auf Geheimhaltung nach § 1 Abs. 1 DSG – abgesehen vom bestehen lebenswichtiger Interessen – ausschließlich aufgrund einer qualifizierten gesetzlichen Grundlage, im erforderlichen Ausmaß und auf verhältnismäßige Art und Weise zulässig (§ 1 Abs. 2 DSG iVm iVm Art. 6 Abs. 1 lit. c und lit. e DSGVO).

3.4.14. In der gegenständlichen Fallkonstellation hatte die Landespolizeidirektion als Dienstbehörde gemäß § 96 Z 1 in Verbindung mit §§ 109 und 110 BDG die ihr im Bereich des Disziplinarrechts übertragenen Aufgaben wahrzunehmen. So hatte der Kommandant des BPK in dessen Eigenschaft als Dienstvorgesetzter des XXXX gemäß § 109 Abs. 1 BDG aufgrund des Verdachts von Dienstpflichtverletzungen die zur vorläufigen Klarstellung des Sachverhaltes erforderlichen Erhebungen zu pflegen und sodann unverzüglich im Dienstwege der Dienstbehörde Disziplinaranzeige zu erstatten. Dem Kommandanten des BPK kam sohin als Dienstvorgesetzten die Pflicht zu, im Rahmen der nach § 109 Abs. 1 BDG zu pflegenden Vorerhebungen sämtliche – das dienstrechtlich relevante Verhalten des XXXX betreffende – Tatsachen aktenmäßig zu dokumentieren und (gegebenenfalls) im Wege einer Disziplinaranzeige an die übergeordneten Stellen innerhalb der Dienstbehörde zu übermitteln. Auf der dem BPK übergeordneten Ebene hatten die Organwalter der mitbeteiligten Partei sodann nach § 110 BDG vorzugehen.

3.4.15. Die belangte Behörde übersieht bei der von ihr vertretenen Rechtsansicht, dass im Zuge der Aktenführung in einem disziplinarrechtlichen Verfahren gegen XXXX Aktenbestandteile betreffend strafrechtlicher Vorwürfe gegen am Disziplinarverfahren völlig unbeteiligter Dritter, namentlich den Erst- und den Zweitbeschwerdeführer sowie weiterer Personen, verwendet und offengelegt wurden. Die belangte Behörde hätte nach Ansicht des erkennenden Senates im Rahmen ihrer rechtlichen Beurteilung jedenfalls zu prüfen gehabt, ob die verfahrensgegenständlichen kriminalpolizeilichen Aktenbestandteile Informationen enthielten, die denkmöglich in einem sachlichen Zusammenhang mit den von der mitbeteiligten Partei zu prüfenden disziplinarrechtlichen Vorwürfen XXXX betreffend standen. Dabei hätte die belangte Behörde bereits aufgrund der Aktenlage erkennen müssen, dass die in Rede stehenden Aktenteile nicht ausschließlich den im Disziplinarverfahren als Partei beteiligten XXXX betreffen und auch sonst zwischen den disziplinarrechtlichen Vorwürfen gegen XXXX im Jahr 2020 und dem Sachverhalt, der den Gegenstand des strafrechtlichen Verfahrens aus dem Jahr 2007 bildet, kein wie immer gearteter tatsächlicher und/oder rechtlicher Zusammenhang besteht. Denn selbst soweit der kriminalpolizeiliche Akt aus dem Jahr 2007 strafrechtlich relevante Vorwürfe die Person des XXXX betreffend enthält, durften diese Umstände aufgrund der Verjährungsbestimmung des § 94 Abs. 1 und Abs. 2 Z 3 BDG im Rahmen des Disziplinarverfahrens im Jahr 2020 keinesfalls mehr berücksichtigt werden. Im Ergebnis hätte die belangte Behörde daher festzustellen gehabt, dass die Verwendung der kriminalpolizeilichen Aktenbestandteile mit der Zl. XXXX im Rahmen des im Jahr 2020 gegen XXXX eingeleiteten disziplinarrechtlichen Verfahrens unrechtmäßig war und den Erst- sowie den Zweitbeschwerdeführer im Recht auf Geheimhaltung verletzt hat.

3.4.16. Zusammengefasst ist festzustellen, dass die belangte Behörde anlässlich eines von ihr nach § 24 DSG zu führenden Beschwerdeverfahrens jedenfalls zu prüfen hat, ob die Verwendung bestimmter personenbezogener Daten im Zuge der Führung eines Ermittlungsverfahrens und damit in Zusammenhang stehender behördlicher Aufgaben denkmöglich erforderlich und verhältnismäßig war. Anders gewendet kann die belangte Behörde im Rahmen der ihr übertragenen Aufgaben in Fällen, in denen personenbezogene Daten von einer hierfür zuständigen Behörde im Zuge eines Ermittlungsverfahrens verwendet werden, nicht von vornherein jegliche Prüfung der Rechtmäßigkeit der in Rede stehenden Datenverarbeitung unter Verweis auf das sogenannte Übermaßverbot unterlassen. Denn auch eine zuständige Behörde darf im Rahmen der ihr übertragenen gesetzlichen Befugnisse personenbezogene Daten nur im erforderlichen Ausmaß und auf verhältnismäßige Art und Weise verwenden. Es ist die Aufgabe der Datenschutzbehörde im Anlassfall aufgrund eines bei ihr anhängigen datenschutzrechtlichen Beschwerdeverfahrens zu prüfen, ob die Datenverwendung einer bestimmten Behörde im Rahmen deren gesetzlicher Aufgabenerfüllung erforderlich und verhältnismäßig war. Andernfalls stünde Betroffenen, die durch eine überschießende Verarbeitung sie betreffender personenbezogener Daten von einer staatlichen Behörde in deren Rechten verletzt zu sein behaupten, kein wirksamer Rechtsschutz offen. Eine derartige datenschutzrechtliche Überprüfung führt nach Ansicht des erkennenden Senates nicht per se zu einem Eingriff in die vom jeweiligen Materiengesetz getroffenen Regelungen zur Abgrenzung behördlicher Zuständigkeiten.

Der angefochtene Bescheid war sohin spruchgemäß abzuändern.

Zu B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinaus – Bedeutung zukommt.

Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt keine Rechtsfrage von grundsätzlicher Bedeutung iSd Art 133 Abs. 4 B-VG vor, und zwar selbst dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen ist (VwGH 11. 9. 2020, Ra 2018/04/0157).

In Bezug auf die zu lösende Rechtsfrage im Hinblick auf die datenschutzrechtliche Rolle als Verantwortlicher war festzustellen, dass sich aus § 36 Abs. 2 Z 8 DSG klar und eindeutig ergibt, dass Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Zur Frage, ob die Verwendung der verfahrensgegenständlichen Aktenbestandteile im Rahmen der Aktenführung zu einem Disziplinarverfahren gemessen an § 1 DSG zulässig war, konnte sich der erkennende Senat auf die ständige Rechtsprechung zu § 1 Abs. 2 DSG stützen, wonach staatlichen Behörden die Verarbeitung personenbezogener Daten im Rahmen der ihnen übertragenen gesetzlichen Aufgabenerfüllung nur im erforderlichen Ausmaß und auf verhältnismäßige Art und Weise erlaubt ist.