BVwG W176 2266382-1

Spruch:

W176 2266382-1/6E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. NEWALD als Vorsitzenden sowie die fachkundigen Laienrichter Mag. BOGENDORFER und RAUB als Beisitzer über die Beschwerde von XXXX , gegen den Bescheid der Datenschutzbehörde vom 05.01.2023, Zl. D124.0508/22, 2022-0.667.775 (Mitbeteiligte Partei: XXXX , vertreten durch RA Dr. David M. SUNTINGER), betreffend Verletzung im Recht auf Geheimhaltung, in nichtöffentlicher Sitzung zu Recht erkannnt:

A)

Die Beschwerde wird als unbegründet abgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang

1. Mit Schreiben vom 23.03.2022 erhob XXXX (im Folgenden: Beschwerdeführer, BF) bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) eine Datenschutzbeschwerde gegen den XXXX (im Folgenden: Mitbeteiligte Partei, MP) wegen Verletzung im Recht auf Geheimhaltung. Darin sowie in seinen Stellungnahmen vom 03.05.2022, 28.05.2022 und 16.09.2022 brachte er im Wesentlichen vor, die Geschäftsführerin der MP habe sein an den Generalsekretär der XXXX gerichtetes Schreiben über die fehlende Qualifikation von Sprachprüfenden der MP unrechtmäßig an zumindest drei Personen weitergeleitet. Die Weiterleitung ergebe sich aus dem Umstand, dass die MP diese Personen in einem E-Mail vom 23.03.2022 an den BF in CC gesetzt habe.

Zusammenfassend sei keine gesetzliche oder vertragliche Grundlage namhaft gemacht worden, die es der die erlaubt hätte, seinen Beschwerdebrief an Dritte weiterzuleiten. Eine sachliche Notwendigkeit für die Weiterleitung habe nicht bestanden, da die MP Prüfer-Berechtigungen an einzelne Privatpersonen und nicht an Institutionen verleihe. Nicht nachvollziehbar sei zudem die Behauptung, der Beschwerdebrief habe zur Überprüfung der Kritik im Gesamtumfang an diese Empfänger verschickt werden müssen, zumal ja nur die Geschäftsführerin der MP wissen habe könne, wen sie als XXXX -Prüfende eingesetzt habe und über welche Qualifikationen diese verfügten. Die außenstehenden Empfänger hätten bei der Überprüfung der Vorwürfe bezüglich XXXX -Prüfer-Qualifikationen nicht behilflich sein können. Ein eventueller Wunsch dieser Empfänger nach Übermittlung des Beschwerdebriefes sei daher irrelevant und stelle keine geeignete Rechtsgrundlage für die Übermittlung dar. Eine Vereinbarung zwischen der MP und der Universität XXXX oder dem XXXX könne keine vertragliche Grundlage darstellen, die seine Zustimmung zur Datenweitergabe ersetzen könne. Diese, wenn auch irrelevanten, Lizenzvereinbarungen seien dem BF überdies als Urkunden im Verfahren offenzulegen.

Beigelegt war der Ausdruck eines Emails der MP an den BF vom 23.03.2022.

2. Mit Stellungnahmen vom 30.04.2022, 08.06.2022 und 05.09.2022 replizierte die MP auf die Beschwerde zusammengefasst wie folgt:

Das Schreiben des BF vom 08.02.2022 betreffe die MP, Lehrkräfte bzw. (angebliche) XXXX -Prüfende der Universität XXXX und des XXXX . Dieses Schreiben sei von XXXX an die MP übermittelt worden. Um die im Schreiben erhobenen Vorwürfe und Kritikpunkte gegen die MP und (angebliche) XXXX -Prüfende an der Universität XXXX bzw. des XXXX zu überprüfen, sei es notwendig gewesen, die im Schreiben genannten und in Ausschnitten zitierten leitenden Personen, und zwar XXXX vom Sprachenzentrum der Universität XXXX sowie XXXX vom XXXX zu kontaktieren. Dies sei zunächst telefonisch ohne Offenlegung der Identität des BF erfolgt. Diese beiden Personen hätten sodann den BF aufgefordert, ihnen das Schreiben weiterzuleiten, da sie selbst namentlich genannt worden seien. Die MP habe den beiden folglich das Schreiben des BF vom 08.02.2022 samt dem Begleitschreiben von XXXX ungekürzt per E-Mail weitergeleitet.

XXXX sei zudem mit der Geschäftsführung der MP in die Bearbeitung und Überprüfung der Angelegenheit involviert gewesen. Nach Abschluss der Überprüfung sei eine Stellungnahme erstellt und das E-Mail neben dem BF, unter anderem aus Gründen der Transparenz, in Kopie auch an die in diesem Prozess (schon von dem BF) involvierten Personen versandt worden. Die Vertreterinnen der Universität XXXX und des XXXX hätten überdies mitgeteilt, dass ihnen diese Vorwürfe und Behauptungen über ähnliche, an sie gerichtete Anfragen ohnehin schon bekannt gewesen seien. Der Beschwerdebrief des BF sei somit an keinen unberechtigten Dritten, sondern ausschließlich an zum Empfang berechtigte Dritte weitergeleitet worden. Soweit Prüfzentren oder einzelne Prüfende von externen Beschwerden betroffen seien, erfolge nach vorhergehender Prüfung der Rechtmäßigkeit und Angemessenheit durch die MP fallweise eine Offenlegung personenbezogener Daten. Die Rechtmäßigkeit stütze die MP hierbei auf Art. 6 Abs. 1 lit. f DSGVO. Konkret sei die Übermittlung an die beiden Kontaktpersonen bei der Universität XXXX bzw. beim XXXX erforderlich gewesen, da die genannten Institutionen das Recht wie auch die Pflicht hätten, zu den Vorwürfen des BF inhaltlich Stellung zu nehmen, zumal darin massive Vorwürfe erhoben worden seien, die dem Ruf und dem wirtschaftlichen Fortkommen der genannten Personen und Institutionen abträglich seien.

Der vom BF behauptete Einsatz unqualifizierter Prüfende durch von der der MP zertifizierte Prüfzentren würde gegen die Lizenzvereinbarung verstoßen. Auch wenn die Universität XXXX im Zeitpunkt der Anschuldigungen der MP keine XXXX -Prüfungen angeboten habe, habe eine aufrechte Lizenzvereinbarung mit dieser Institution bestanden. Eine nur auszugsweise Weiterleitung des Schreibens des BF oder dessen bloße mündliche Wiedergabe hätten den angestrebten Zweck nicht ebenso gut erfüllt. Das Geheimhaltungsinteresse des BF sei demgegenüber als denkbar gering einzustufen, da er seine personenbezogenen Daten in seinem Schreiben vom 08.02.2022 an XXXX selbst offengelegt und nicht um vertrauliche Behandlung dieser ersucht habe. Bei lebensnaher Betrachtung habe der BF damit rechnen müssen, dass seine personenbezogenen Daten im Rahmen eines dadurch ausgelösten Prozesses weitergeleiteten werden würden. Letztlich seien vom BF selbst auch inhaltlich beinahe gleichlautende Schreiben an diese Empfänger versendet worden. Eine Offenlegung auch nur Auszüge der – der belangten Behörde übermittelten – Lizenzvereinbarungen an den BF sei zudem nicht möglich, da dadurch vertragliche Geheimhaltungspflichten gegenüber seinen Lizenznehmern verletzt werden würden.

3. Mit dem angefochtenen Bescheid wies die belangte Behörde die Beschwerde des BF gegen die MP wegen Verletzung im Recht auf Geheimhaltung als unbegründet ab.

Beschwerdegegenstand seien die Frage, ob die MP den BF dadurch in seinem Recht auf Geheimhaltung verletzt hat, indem sie seinen Beschwerdeberief vom 08.02.2022 an XXXX , XXXX und XXXX weitergeleitet hat.

In der Bescheidbegründung führte die DSB zunächst aus, dass sich die verfahrenseinleitende Eingabe des BF gegen die Geschäftsführerin – sohin ein Organ – der MP richte, deren Handeln der MP zugerechnet werde.

Zur Weiterleitung des Beschwerdebriefes an XXXX wurde festgehalten, dass eine solche bereits durch XXXX erfolgt sei, weshalb keine Offenlegung durch die MP vorliege. Eine dahingehende Verletzung des BF in seinem Recht auf Geheimhaltung durch die MP könne somit nicht erblickt werden.

Zur Weiterleitung des Beschwerdebriefes an XXXX und XXXX wurde ausgeführt, dass darin eine Übermittlung an Personen mit Leitungsfunktionen in den Institutionen XXXX bzw. Sprachzentrum der Universität XXXX liege. Diese Datenverarbeitung sei aber – wie auch von der MP vorgebracht – aufgrund überwiegender berechtigter Interessen im Sinne des § 1 Abs. 2 DSG bzw. Art. 6 lit. f DSGVO zulässig gewesen, denn es habe ein berechtigtes Interesse der MP sowie von deren Lizenznehmern gegeben, sich über die aufgeworfenen Missstände auszutauschen und jegliche Zweifel an den Prüfenden, welche von den Lizenznehmern für XXXX -Prüfungen eingesetzt werden, auszuräumen. Sie sei zur Verwirklichung des berechtigten Interesses auch erforderlich gewesen und würden die berechtigten Interessen der MP sowie der genannten Dritten gegenüber den Grundrechten und Grundfreiheiten des BF überwiegen – so habe der BF insbesondere dadurch, dass er die Namen von konkreten XXXX -Prüfenden, welche etwa vom Sprachzentrum der Universität XXXX eingesetzt werden, als auch die Namen von XXXX und XXXX selbst genannt hat, durchaus damit rechnen müssen, dass sein Beschwerdebrief in weiterer Folge an diese Personen bzw. Institutionen weitergeleitet werde, um diese mit den erhobenen Vorwürfen zu konfrontieren und eine Stellungnahme einzuholen.

4. Mit Eingabe vom 22.01.2023 erhob der BF Beschwerde gegen den Bescheid und wiederholte darin im Wesentlichen sein bisheriges Vorbringen (vgl. oben Punkt I.1.). Zudem führte er zusammengefasst aus, dass die belangte Behörde es unterlassen habe, seine berechtigten Interessen ernsthaft zu prüfen. Er hätte nicht damit rechnen müssen, dass die MP seinen Beschwerdebrief „an verschiedene Leute“ versende und dadurch die Identität des BF als Verfasser preisgebe und hätte die MP ihn, entgegen der Ausführungen der belangten Behörde, insbesondere nicht ohne Anonymisierung an XXXX und XXXX weiterleiten dürfen, nur weil diese darin namentlich erwähnt worden seien.

5. In der Folge legte die belangte Behörde die Beschwerde samt den bezughabenden Verwaltungsunterlagen dem Bundesverwaltungsgericht vor. Dabei nahm sie zur Beschwerde dahingehend Stellung, dass das Beschwerdevorbringen zur Gänze bestritten werde. Zudem wies sie darauf hin, dass das Verfahren als ein einqeschränktes geführt worden sei und dem BF kein Parteienqehör zu den von der BF vorgelegten Lizenzvereinbarunqen gewährt worden sei.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen

1.1. Das Bundesverwaltungsgericht legt seiner Entscheidung den unter Punkt I. dargestellten Sachverhalt zugrunde.

1.2. Insbesondere wird festgestellt:

Die MP ist ein Verein, der Sprachprüfungen anbietet. XXXX , ist eine Beschäftigte der MP.

Der BF versandte ein mit 08.02.2022 datiertes Schreiben per E-Mail an den Generalsekretär von XXXX , in welchem er die fehlende Qualifikation von Prüfern der MP behauptete. Im Schreiben werden (auszugsweise) die Antworten von XXXX und XXXX – als „Head of XXXX “ bzw. als verantwortliche Person beim XXXX beide namentlich genannt – auf seine Frage nach der seiner Meinung nach offensichtlich fehlenden formellen Qualifikation von Prüfenden der MP zitiert. Im Briefkopf des Schreibens sind Name, akademischer Grad und Anschrift des BF angeführt.

XXXX leitete dieses E-Mail samt Beschwerdeschreiben an XXXX , als Vertreterin der MP weiter. Die Geschäftsführerin der MP leitete das Beschwerdeschreiben samt ihrer Stellungnahme dazu an XXXX , XXXX sowie XXXX weiter.

Im maßgeblichen Zeitraum war XXXX Leiterin des Sprachzentrums der Universität XXXX und XXXX Leiterin der Abteilung Sprachen bei der XXXX .

Das Sprachzentrum der Universität XXXX und die XXXX sind als XXXX -zertifizierte Prüfzentren Lizenznehmer der MP. Als Lizenznehmer sind sie vertraglich verpflichtet, gewisse Qualitätsstandards bei den XXXX -Prüfungen und den von ihnen eingesetzten XXXX -Prüfenden sich sichern.

Der BF machte diesbezüglich mit Eingabe vom 23.03.2022 bei der belangten Behörde eine Verletzung in seinem Recht auf Geheimhaltung geltend.

2. Beweiswürdigung

Die Feststellungen ergeben sich aus den Angaben der Parteien im Zuge des Verfahrens vor der belangten Behörde und den von ihr vorgelegten Verwaltungsunterlagen.

Zur Feststellung bezüglich der Positionen von XXXX im Sprachzentrums der Universität XXXX und von XXXX bei der XXXX wird festgehalten, dass der BF der diesbezüglichen Feststellung im angefochtenen Bescheid nicht entgegengetreten ist.

Die Feststellung zur vertraglichen Verpflichtung des Sprachzentrums der Universität XXXX und der XXXX , als Lizenznehmer der MP gewisse Qualitätsstandards bei den von ihnen eingesetzten XXXX -Prüfenden zu sichern, ergibt sich aus den von der MP vorgelegten Lizenzvereinbarungen.

3. Rechtliche Beurteilung

Zu Spruchpunkt A):

3.1. Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 2/2023, lauten auszugsweise wie folgt:

„Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(3)-(4) […]

[…]

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) […]

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6)-(10) […]"

Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 , ABl. L 199 vom 04.05.2016 S 1, (Datenschutz-Grundverordnung, im Folgenden: DSGVO) lauten auszugsweise wie folgt:

„Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2.-26. […]

[…]

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

[…]“

3.2. In der Sache:

3.1.2. Zum Begriff „personenbezogene Daten“ führt Hödl in Knyrim auszugsweise aus:

Das Vorliegen personenbezogener Daten bestimmt den sachlichen Anwendungsbereich der DSGVO. Personenbezogene Daten sind das Schutzziel der Verordnung, wobei sich diese auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Person wird inArt. 4 Z 1 als betroffene Person bezeichnet. […] Eindeutig identifiziert ist eine Person idR dann, wenn die Identität der Person unmittelbar aus der Information selbst hervorgeht. Wenn also eine Person direkt namentlich bekannt ist, bzw jene Fälle, in denen weitere Merkmale vorliegen, wie das Geburtsdatum, die eindeutig auf eine bestimmte Person hinweisen. Es handelt sich um sogenannte primäre Identifikationsmerkmale.

§ 1 Abs. 2 regelt die Voraussetzungen für einen Eingriff in das Grundrecht auf Datenschutz. Aufgrund der Vorrangstellung unmittelbar anwendbaren Unionsrechts kann das Grundrecht einer Datenverarbeitung nicht entgegenstehen, die nach der DSGVO rechtmäßig ist (vgl. Dopplinger in Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG § 1 Rz 10; Stand 12.06.2018, rdb.at).

Eine Verarbeitung personenbezogener Daten ist zulässig, wenn sie – unter Einhaltung der in Art. 5 DSGVO genannten Verarbeitungsgrundsätze – auf Grund einer der in Art. 6 DSGVO genannten Erlaubnistatbestände erfolgt.

Aus den Erlaubnistatbeständen des Art. 6 Abs. 1 DSGVO ist gegenständlich jener in lit. f zu prüfen, da die MP selbst, ebenso wie die belangte Behörde, die inkriminierte Datenverarbeitung in Form der Weiterleitung des Beschwerdeschreibens des BF auf diesen Tatbestand gestützt haben und der BF das Vorliegen der Tatbestandselemente bestreitet.

Art. 6 Abs. 1 lit f ermöglicht die Verarbeitung personenbezogener Daten in „Gleichordnungsverhältnissen“ unter Privaten, wenn sie zur Wahrung der berechtigten Interessen eines Verantwortlichen oder eines Dritten erforderlich ist sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Im Kern ist eine Abwägung der berührten Interessen (Interessenabwägung) im Einzelfall vorzunehmen, „wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird.“ Die Gewichtung hat aus objektiver Sicht und nicht aus der subjektiven Sicht einzelner betroffener Personen zu erfolgen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO Rz 51, Stand 7.5.2020, rdb.at).

Zum Kriterium der Erforderlichkeit hat der EuGH mehrfach ausgeführt, dass eine Verarbeitung nur jene Daten enthalten darf, die auch erforderlich sind, und sich grundsätzlich auf das absolut Notwendige beschränken muss (EuGH 09.11.2010, C-92/09 und C-93/09 (Schecke) Rz 86; 07.11.2013, C-473/12 (IPI) Rz 39; 11.12.2014, C-212/13 (Ryneš) Rz 28).

Als Rechtsgrundlage können auch die berechtigten Interessen eines Dritten dienen. Bei der Beurteilung der Frage, ob eine Übermittlung an einen anderen Verantwortlichen durch die Rechtsgrundlage des Abs. 1 lit f gedeckt ist, kann daher insbesondere auf das berechtigte Interesse des Übermittlungsempfängers abgestellt werden (vgl Erwägungsgrund 47 Satz 1). Entgegen der in der Praxis üblichen Ausdrucksweise „überwiegende berechtigte Interessen“ müssen die berechtigten Interessen des Verantwortlichen (oder eines Dritten) tatsächlich die Interessen (oder Grundrechte und Grundfreiheiten) des Betroffenen nicht überwiegen – es reicht hier bereits ein Gleichgewicht der Interessen, um eine Rechtfertigung der Datenverarbeitung auf Basis dieser Rechtsgrundlage zu erreichen (Feiler/​Forgó, EU-DSGVO2 Art 6 Rz 27-29).

3.2.2. Zur Übermittlung der personenbezogenen Daten des BF durch die MP an XXXX hat die belangte Behörde schlüssig ausgeführt, dass die Genannte ohnehin jene Beschäftigte der MP ist, der das Schreiben des BF zuvor von XXXX weitergeleitet worden war, weshalb in der abermaligen Übermittlung an sie im Rahmen der Stellungnahme der MP zu den vom BF erhobenen Vorwürfen keine – nicht bereits durch XXXX erfolgte – Offenlegung der personenbezogenen Daten des BF zu erblicken ist. Dem tritt der BF in seiner Bescheidbeschwerde nicht entgegen. Deshalb sieht der entscheidende Senat keinen Grund, weshalb diesbezüglich von einer Verletzung des BF in seinem Recht auf Geheimhaltung durch die MP auszugehen sein soll.

Zur Übermittlung von personenbezogenen Daten des BF an die beiden Kontaktpersonen beim Sprachenzentrum der Universität XXXX bzw. beim XXXX :

Im Rahmen der vorzunehmenden Interessensabwägung im Einzelfall bringt die MP nachvollziehbar vor, dass die Übermittlung der personenbezogenen Daten des BF an die beiden Kontaktpersonen erforderlich gewesen sei, um ihre eigenen berechtigten Interessen als Verantwortliche sowie die berechtigten Interessen Dritter Sprachenzentrum der Universität XXXX bzw. beim XXXX (d.h. des Sprachenzentrum der Universität XXXX und des XXXX ) verfolgen zu können, zumal diese sowohl das Recht wie auch – aufgrund der Lizenzvereinbarung mit der MP – die Pflicht hätten, zu den Vorwürfen des BF inhaltlich Stellung zu nehmen, wonach bei ihnen unqualifizierte Prüfende zum Einsatz kämen.

Nicht entgegengetreten werden kann der MP ferner, wenn sie vorbringt, dass in den Ausführungen des BF zur mangelnden Qualifikation namentlich genannter Prüfender, die dem Ruf und dem wirtschaftlichen Fortkommen der genannten Personen und Institutionen abträglich sein können, mögliche Persönlichkeits- und andere Rechtsverletzungen zu erblicken und schon deshalb auch die Identität des BF den Vertreterinnen der Institutionen Sprachenzentrum der Universität XXXX und XXXX offenzulegen waren, um die genannten Institutionen und Personen in die Lage zu versetzen, gegebenenfalls rechtliche Schritte gegen den BF einzuleiten.

Das Vorbringen des BF in der Bescheidbeschwerde erschöpft sich in der Argumentation, er habe nicht damit rechnen müssen, dass die MP seinen Beschwerdebrief unverändert und ohne Anonymisierung an XXXX und XXXX weiterleiten würde; der BF vermag dadurch jedoch nicht aufzuzeigen, weshalb er – bei objektiver Betrachtung – vernünftigerweise nicht damit rechnen konnte. In diesem Zusammenhang wies die belangte Behörde zu Recht darauf hin, dass der BF in seinem Beschwerdebrief nicht etwa um eine vertrauliche Behandlung seiner personenbezogenen Daten ersuchte. Der erkennende Senat teilt daher die Auffassung, dass der BF in Hinblick auf die Ausführungen in seinem Schreiben an XXXX durchaus damit rechnen musste, dass das Schreiben – einschließlich seiner darin angeführten personenbezogenen Daten – an von ihm kritisierte Personen bzw. Institutionen weitergegeben werde.

Die Grundrechte und Grundfreiheiten des BF – insbesondere jenes auf Geheimhaltung gemäß § 1 DSG – überwiegen daher nicht die berechtigten Interessen der MP sowie der genannten Dritten an der Übermittlung des vollständigen Schreibens samt Offenlegung der Identität des BF als dessen Urheber durch den im Briefkopf genannten Namen des BF samt akademischen Titel und Anschrift. Es liegt daher ein berechtigtes Interesse der MP an der Datenverarbeitung nach Art. 6 Abs. 1 lit. f DSGVO vor, was eine Verletzung des Rechts des BF auf Geheimhaltung gemäß § 1 DSG ausschließt.

3.2.3. Soweit der BF im Verwaltungsverfahren vorbrachte, die Lizenzvereinbarungen seien im Verfahren offenzulegen, ist schließlich Folgendes festzuhalten:

Von der Akteneinsicht iSd § 17 Abs. 1 AVG sind gemäß Abs. 3 leg. cit. Aktenbestandteile ua. dann ausgenommen, insoweit deren Einsichtnahme eine Schädigung berechtigter Interessen einer Partei oder dritter Personen herbeiführen würde. Von § 17 Abs. 3 AVG werden etwa auch wirtschaftliche Interessen aus einer legalen Tätigkeit, wie zB das Interesse am Schutz von Betriebsgeheimnissen geschützt (vgl. Hengstschläger/Leeb, AVG § 17 Rz 10 [Stand 1.1.2014, rdb.at] ua uHw VwGH 09.04.2013, 2011/04/0207).

Ein derartiges Betriebs- und Geschäftsgeheimnis macht die MP in plausibler Weise geltend, wenn sie vorbringt, dass durch eine Offenlegung im Rahmen des Verfahrens vertragliche Geheimhaltungspflichten gegenüber den Lizenznehmern verletzt würden. Dem trat der BF in der Beschwerde nicht entgegen; deshalb geht der hier entscheidende Senat davon aus, dass die belangte Behörde zu den ihr übermittelten Unterlagen zu Recht keine Parteiengehör gewährt hat.

3.2. Die Durchführung einer mündlichen Verhandlung konnte gemäß § 24 Abs. 2 Z 1 VwGVG entfallen, zumal aufgrund der Aktenlage feststeht, dass der Beschwerde nicht Folge zu geben ist.

3.3. Zu Spruchpunkt B) Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist unzulässig, weil keine Rechtsfrage im Sinne des Art. 133 Abs. 4 B-VG zu beurteilen war, der grundsätzliche Bedeutung zukommt.

Es war somit insgesamt spruchgemäß zu entscheiden.