Das BVwG hat am 4.12.2020, GZ W274 2233705-1 darüber entschieden, ob die Weitergabe der Geheimnummer eines Mieters durch den Vermieter an einen Professionisten im Rahmen einer Schadensbehebung datenschutzrechtlich bedenklich ist.

Der Sachverhalt

Am 31. August 2019 teilt ein Mieter dem Vermieter (Wiener Wohnen) mit, dass Kinder eine Scheibe eingeschlagen hätten. Dieser hat eine Schadensmeldung aufgenommen, und einen Auftrag an einen Professionisten erteilt, um den Schaden zu beheben.

Kurz darauf – wohl am gleichen Tag - hat den Mieter ein „Elektriker“ angerufen, und diesem mitgeteilt, dass er von beauftragt sei, den Schaden zu beheben.

Der Mieter hat sich dann noch am 31.8.2019 bei der Datenschutzbehörde beschwert, und angegeben, dass er eine Geheimnummer hat, und niemals gestattet hat, diese Telefonnummer an Dritte (Elektriker) weitergegeben wird.

Im Rahmen des Telefonats habe der/die Mitarbeiter*In des Vermieters auch nicht danach gefragt, und auch die Weitergabe der Telefonnummer an den Professionisten auch nicht angekündigt.  

Der Mieter hat sich dann beim Verantwortlichen beschwert, und es ist ihm mitgeteilt worden, dass die Telefonnummer üblicherweise an Techniker weitergeben werden, sodass diese die Person, die einen Schaden meldet, kontaktieren könnten.

Die Argumente der Hausverwaltung

Die Hausverwaltung selbst hat sich im Verfahren auf die „Vertragserfüllung“ (Art 6 Abs 1 lit b DSGVO) berufen, und mitgeteilt, dass es zur Vertragserfüllung im Rahmen von Nebenpflichten erforderlich war, die Telefonnummer weiterzugeben.

Auch wenn der Schaden einen allgemeinen Teil des Objektes und nicht an konkreten Mietobjekt vorhanden ist, besteht eine Verpflichtung der Vermieterseite (Hausverwaltung) den Schaden zu beheben.

Die Entscheidung der DSB

Die Datenschutzbehörde gab der Beschwerde am 30.03.2020, GZ D 124.1364 2020-0.202.645 statt und stellte fest, die Vermieterseite habe den Mieter dadurch im Recht auf Geheimhaltung verletzt, indem sie personenbezogene Daten des Mieter  (geheime Telefonnummer) unzulässiger Weise einem beauftragten Unternehmen übermittelt und diesem offengelegt habe.

Die Entscheidung des BVwG

Nun hat das BVwG am 4.12.2020 die Entscheidung in zweiter Instanz gefällt, die Entscheidung der DSB bestätigt, und daher die Beschwerde von Wiener Wohnen (Magistratsabteilung 63) abgewiesen.

Das BVwG hat im Verfahren festgestellt, dass die Kontaktaufnahme durch den Techniker nicht erforderlich war, um die Behebung des Schadens zu ermöglichen.

Zur Frage der „Erforderlichkeit von Verarbeitung personenbezogenen Daten im Zusammenhang mit der Erfüllung eines Vertrages“ hat das BVwG umfassend Stellung genommen, und bezieht sich darin auf einige wesentliche Punkte:

Der Vertragszweck und diejenigen Tätigkeiten, die zur Vertragserfüllung oder zur Wahrnehmung von Rechten oder zur Durchführung vorvertraglicher Tätigkeiten notwendig sind, definieren die Erforderlichkeit zur Verarbeitung von personenbezogenen Daten. Es sind die Perspektiven des Verantwortlichen und der Betroffenen maßgeblich, und es muss ein unmittelbarer Zusammenhang zwischen der Verarbeitung der personenbezogenen Daten und dem konkreten Zweck des Vertragsverhältnisses bestehen, wobei auch die vertraglichen Nebenpflichten von Bedeutung sind.

Das Kriterium der „Erforderlichkeit“ ist eng auszulegen, und „Verarbeitungen, die nicht wirklich notwendig sind“, können auf dieser Grundlage nicht erfolgen.

Diese Prämisse ist erfüllt, wenn der Vertrag ohne die Verarbeitung nicht erfüllt werden kann, zB Zustelladresse eines Vertragspartners für Warenlieferungen. Die Grenze für die Beurteilung ergibt sich insofern aus Art 5 Abs 1 lit b DSGVO („Zweckbindung“), Art 5 Abs 1 lit c DSGVO („Datenminimierung“) und Art 6 Abs 4 DSGVO („Zweckänderungen“).

Das BVwG verweist auch darauf, dass „gelindere Mittel“ zu berücksichtigen sind, wenn es um die Frage geht, ob personenbezogene Daten verarbeitet werden dürfen oder nicht.

„Diesbezüglich hält ErwG 39 DSGVO fest, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. In einer solchen Abwägung ist der Aufwand (zB Zeit, Kosten, Arbeit, mit der Umstellung verbundene Risiken, etc) dem Ausmaß der schonenderen bzw geringeren Datenverarbeitung gegenüber zu stellen.

Wenn die Abwägung ergibt, dass andere Mittel für den Verantwortlichen zumutbar sind, dann muss die Verarbeitung von Daten umgestellt werden, also etwa eine neue Software oder sonst eine andere Datenverarbeitung eingeführt werden (Braun/Hasenauer, Die Rechtmäßigkeit der Verarbeitung gemäß Art 6 DSGVO 22 ff).“

Kernaussage des BVwG

„Nach den Feststellungen war eine Kontaktaufnahme des Technikers mit dem BF (richtig wohl MB = Mieter, Anm. des Autors) nicht erforderlich, um die Behebung des Schadens zu ermöglichen.

Selbst wenn eine solche erforderlich gewesen sein sollte, wäre daraus nicht notwendigerweise eine Berechtigung zur Datenweitergabe an diesen abzuleiten, zumal ja eine Vermittlung über die BF (= Vermieter; Anm. des Autors) hätte erfolgen können.

Grundsätzlich wäre es, sollte die BF (= Vermieter; Anm. des Autors) im Einzelfall eine direkte Kontaktaufnahme zwischen Techniker und anzeigendem Mieter für notwendig oder zweckmäßig befunden haben, an der BF (= Vermieter; Anm. des Autors) gelegen gewesen, eine Zustimmung zur Datenweitergabe einzuholen.

Fazit:

Jede Verarbeitung ist im konkreten Fall zu prüfen und bedarf einer Rechtsgrundlage in diesem Zusammenhang.

Bedauerlich ist in diesem Zusammenhang, dass – soweit es sich aus der Entscheidung ergibt – keine Argumentation dahingehend erfolgte, dass die Vermieterseite „ein berechtigtes Interesse“ iSd Art 6 Abs 1 lit f DSGVO an der Weitergabe der Daten zB Kosten- und Zeitersparnis hatte, und dies auch bei Abschluss des Mietvertrages in der Datenschutzinformation dem Mieter kommuniziert wurde, und der keinen Widerspruch erhoben hat, sodass die grundsätzliche Beurteilung zu einer Zulässigkeit der Weitergabe führen hätte können.

Nur im speziellen Fall, den der Mieter dann mitzuteilen gehabt hätte, und in dem er seine eigenen speziellen Interessen an der Geheimhaltung hätte mitteilen müssen, wäre dann – nach einem erfolgten Widerspruch – die weitere Verarbeitung der Daten für den konkreten Zweck der Weitergabe der Daten unzulässig.

15.02.2021, Autor:

Michael Schweiger, zert DSBA