Am 20.12.2018 (6Ob131/18k) hat sich der OGH mit Fragen der Löschung von Daten nach DSGVO beschäftigt.

 

Der Löschungsanspruch kann von der betroffenen Person auch im gerichtlichen Verfahren geltend gemacht werden. § 29 Abs 1 DSG steht dem nicht entgegen.

 

 

 

Ausgangsstreit und Datenverarbeitung bzw. -verwendung

 

In einem (sehr strittigen) Pflegschaftsverfahren, das im sog. Außerstreitverfahren geführt wird, hat der Beklagte (Kindesvater) E-Mail-Korrespondenz und Chat-Protokolle der Klägerin (Kindesmutter; Ex-Gattin) mit dritten Personen – mit teilweise „sensiblen Inhalt“ - vorgelegt, die er auf dem PC der Klägerin, der nach der Scheidung bei ihm gelassen wurde, gefunden hatte. Er wollte damit seine eigene Rechtsposition untermauern.

 

Diese E-Mail-Korrespondenz und Chat-Protokolle enthielten auch Daten über die Gesundheit der Klägerin, ihr Sexualleben, Empfängnisverhütung, ihre Gefühlswelt, Eheprobleme und Therapien.

 

An sich hätte der Beklagte diese Daten löschen sollen, dies hatte er nämlich zugesagt. Er hat sie zufällig auf dem Gerät gefunden.

 

 

 

 

Das Verfahren vor dem OGH

 

Die Klägerin hat daraufhin den Beklagten

 

·     auf Schadenersatz von EUR 2.000,00 (rechtskräftig abgewiesen) sowie

 

·     Unterlassung der Vervielfältigung und/oder Weitergabe sowie der Verbreitung von ihren im E-Mail-Verkehr mit F***** (Februar bis August 2010) und W***** (November 2010), in ihren schriftlichen Aufzeichnungen vom Juni 2010 und den Chat-Protokollen mit M***** (Oktober 2010) enthaltenen personenbezogenen, sensiblen Daten, also Daten über ihre rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse und philosophische Überzeugung, Gesundheit und ihr Sexualleben, sowie

 

·     die Löschung dieser Daten und die Vernichtung bereits angefertigter Ausdrucke

 

in Anspruch genommen.

 

 

 

Bereits die erste Instanz und die das Berufungsgericht gaben der Klage statt. Der OGH musste sich um Rahmen einer sog. ordentlichen Revision mit den aufgeworfenen Rechtsfragen beschäftigen.

 

 

 

Der OGH änderte die Entscheidung der unterinstanzlichen Gerichte ab.

 

Das Unterlassungsbegehren wurde abgewiesen, da im Verfahren die Klägern nur dargelegt hatte, dass der Beklagte die Unterlagen im Rahmen des Pflegschaftsverfahrens verwendet hatte. Eine „konkrete Besorgnis einer drohenden Rechtsverletzung“ (RIS-Justiz RS0010479) als Voraussetzung für eine vorbeugende Unterlassungsklage liegt nach Ansicht des OGH nicht vor.

 

„Die bloße Drohung einer Rechtsverletzung rechtfertigt zwar (nur) unter besonderen Umständen die vorbeugende Unterlassungsklage, wenn nämlich ein dringendes Rechtsschutzbedürfnis des Bedrohten dies verlangt (RIS-Justiz RS0009357 [T13]); eine vorbeugende Unterlassungsklage ist dann gerechtfertigt, wenn das Zuwiderhandeln unmittelbar drohend bevorsteht, also Erstbegehungsgefahr besteht. Der Kläger muss aber diesfalls die tatsächlichen Umstände, die eine ernstlich drohende und unmittelbar bevorstehende Gefahr erstmaliger Begehung begründen, im Einzelnen darlegen und im Bestreitungsfall beweisen. Die bloße theoretische Möglichkeit der Begehung genügt nicht (RIS-Justiz RS0009357 [T19]).“

 

 

 

Das Begehren, dass der Beklagte die Unterlagen nicht im Beweisverfahren des Pflegschaftsgerichtes verwendet, war unzulässig. Die Beweismittel waren im Pflegschaftsverfahren bereits vorgelegt, und damit Teil des Gerichtsaktes.

 

 

 

Letztlich befasste sich der OGH mit dem Löschungsanspruch und bejahte diesen. Nach Art 17 Abs 1 lit a DSGVO hat der Verantwortliche die personenbezogenen Daten nach Wegfall des Zweckes unverzüglich zu löschen.

 

„Dieser Löschungsanspruch kann auch im gerichtlichen Verfahren geltend gemacht werden.“

 

Dies war eine der zentralen Aussagen des OGH im Urteil, der auch auf Art 79 Abs 1 DSGVO verweist, wonach unbeschadet eines verfügbaren verwaltungsrechtlichen oder außergerichtlichen Rechtsbehelfs einschließlich des Rechts auf Beschwerde bei einer Aufsichtsbehörde gemäß Art 77 DSGVO jede Person das Recht auf einen wirksamen gerichtlichen Rechtsbehelf hat, wenn sie der Ansicht ist, dass die ihr aufgrund dieser Verordnung zustehenden Rechte infolge einer nicht im Einklang mit dieser Verordnung stehenden Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

 

 

 

Der OGH bejahte auch die Anwendbarkeit der DSGVO, und setzte sich mit dem Argument der Haushaltsausnahme auseinander, und kommt zum Schluss, dass nur private Handlungen darunter fallen, jedoch die Verwendung in einem gerichtlichen Verfahren nicht von der Haushaltsausnahme gedeckt ist:

 

7.2.2. […] Gemäß Erwägungsgrund 18 der DSGVO soll sie Datenverarbeitungen ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit erfassen wie beispielsweise das Führen eines Schriftverkehrs, das Führen von Anschriftenverzeichnissen oder die Nutzung sozialer Netze und Online-Tätigkeiten im Rahmen persönlicher oder familiärer Tätigkeiten. Nach Dammann/Simitis (EG-Datenschutzrichtlinie Art 3 Rz 8) gehören dazu auch Verzeichnisse von Telefonnummern und Geburtstagen von Verwandten, Freunden und Bekannten, aber auch der Umgang mit Daten im Rahmen des persönlichen Konsums und der Freizeit, also etwa die Korrespondenz mit Versandhäusern, die persönliche Kontoführung einschließlich der im privaten Rahmen anfallenden Rechnungen etwa im Zusammenhang mit der Wohnung oder dem (privaten) Personenkraftwagen, oder die Datenverarbeitung im Zusammenhang mit einem persönlichen Hobby (Daten von Tauschpartnern und/oder Vereinen). Mit der Ausnahmebestimmung wird ein Bereich persönlicher Lebensführung von der beruflichen und geschäftlichen Sphäre abgegrenzt; entscheidend ist, dass der Datenumgang im privaten Aktionskreis stattfindet, in welchem Fall es dann auch keine Rolle spielt, wie intensiv die Belange von Betroffenen berührt werden oder ob sensible Daten betroffen sind (Dammann in Simitis, BDSG6 [2006] § 1 Rz 149; vgl auch Ernst in Paal/Pauly, DS-GVO BDSG² [2018] Art 2 DSGVO Rz 18).

 

Dem liegt die Erwägung zugrunde, dass die Regeln der DSGVO auf größere Organisationen zugeschnitten sind und nicht auch auf Privatpersonen angewendet werden sollen; die Datenverarbeitung zu privaten Zwecken ist damit allerdings keineswegs rechtsfrei gestellt, sondern dem allgemeinen Ehr- und Persönlichkeitsschutz überwiesen (v. Lewinski in Eßer/Kramer/v. Lewinski, DSGVO BDSG6 [2018] § 1 BDSG Rz 11; ähnlich Dammann aaO, wonach sich bei intensiven Rechtseingriffen Abwehrrechte aus dem deutschen Bürgerlichen Gesetzbuch ergeben könnten).

 

Daten auf Heimcomputern und die Teilnahme an Sozialen Netzwerken sollen dabei typischerweise privat sein (v. Lewinski aaO Rz 14). Der privilegierte familiäre Rahmen wird auch nicht überschritten, wenn beispielsweise die in einem Haushalt zusammenlebenden Familienmitglieder unter Nutzung desselben PC eine Adressdatei gemeinsam pflegen und/oder nutzen (Dammann in Simitis, BDSG6 § 1 Rz 153).

 

7.2.3. Als Ausnahmenorm ist Art 2 Abs 2 lit c DSGVO grundsätzlich restriktiv auszulegen (Dammann in Simitis, BDSG6 § 1 Rz 148; Ernst in Paal/Pauly, DS-GVO BDSG² Art 2 DS-GVO Rz 21).

 

Eine persönliche oder familiäre Tätigkeit ist öffentlichkeitsfeindlich, weshalb etwa das Online-Stellen von eigentlich privaten Familien-Stammbäumen oder von personenbezogenen Informationen über andere Personen, seien sie verwandt oder befreundet, von der Ausnahme nicht erfasst ist. Jegliche öffentlich online zugängliche Daten sind nicht privilegiert; öffentlich sichtbare Datensammlungen unterfallen stets den Regelungen der DSGVO und sind nicht aufgrund der household exemption ausgenommen (Ernst aaO; Feiler/Forgó, EU-DSGVO Art 2 Rz 7; vgl auch EuGH 6. 11. 2003, C-101/01 [Lindqvist/Schweden] EU:C:2003:596).

 

In diesem Sinne hat auch der EuGH ausgeführt, eine Verarbeitung personenbezogener Daten falle nur dann unter die Ausnahme, wenn sie in der ausschließlich persönlichen oder familiären Sphäre desjenigen vorgenommen wird, der die Daten verarbeitet, sodass beispielsweise eine an einem Einfamilienhaus angebrachte Videokamera dann nicht mehr unter die Ausnahme fällt, wenn sie auch den öffentlichen Raum überwacht (EuGH 11. 12. 2014, C-212/13 [František Ryneš/Úřad pro ochranu osobních údajů] EU:C:2014:2428 = PinG 2015, 56 [Müller-Peltzer]).

 

Auch die Nutzung einer persönlichen Datensammlung für andere Zwecke lässt den privaten Zweck entfallen, ebenso wenig ist der Informationsaustausch innerhalb einer Organisation (Verein, Gemeinde, Interessengruppe) rein persönlich (Dammann/Simitis, EG-Datenschutzrichtlinie Art 3 Rz 7). Jegliche den persönlich-familiären Bereich überschreitende Nutzung führt zur Unanwendbarkeit der Ausnahme des Art 2 Abs 2 lit c DSGVO (Ernst in Paal/Pauly aaO Rz 19; Dammann in Simitis, BDSG6 § 1 Rz 150). Wenn die Privatsphäre verlassen wird – ob zu einer kommerziellen oder nicht kommerziellen Tätigkeit – gilt das Gesetz (Schaffland/Holthaus in Schaffland/Wiltfang, DS-GVO/BDSG Art 2 DS-GVO Rz 23).

 

7.3. Im vorliegenden Fall hat der Beklagte dadurch, dass er Daten der Klägerin sowohl der Sachverständigen als auch dem Pflegschaftsgericht zur Verfügung stellte, den persönlich-familiären Bereich überschritten, sodass er sich nicht mehr auf den Ausnahmetatbestand des Art 2 Absatz 2 lit c DSGVO berufen kann.

 

Aus Art 79 Abs 1 DSGVO ergibt sich somit die gerichtliche Zuständigkeit für den von der Klägerin geltend gemachten Löschungsanspruch nach Art 17 Abs 1 lit a DSGVO und § 45 Abs 2 Z 1 DSG.“

 

 

 

Der OGH hat den Beklagten daher verurteilt, die in seinem Besitz befindlichen personenbezogenen Daten zu löschen bzw. die Ausdrucke zu vernichten, sofern sie sich in seiner Verfügungsmacht befinden, sowie diejenigen Daten, die er vom Gericht „zurückerhält“ nach (einem etwaigen) Erhalt zu löschen bzw. zu vernichten.

 

 

22.06.2019, Autor:

Michael Schweiger, zert DSBA