Das Bundesverwaltungsgericht hatte am 01.02.2024 zu GZ W287 2242238-1/13E einen Fall zu beurteilen, bei dem es um einen von einer Gemeinde analog geführten Bauakt ging.
Nach Ansicht der DSB und gleichlautender Ansicht des BVwG ist ein analog geführter Bauakt kein Dateisystem (filing system) iSd DSGVO, da er nicht nach personenbezogenen Daten durchsuchbar ist, und so der notwendige Ordnungsgrad nicht erreicht ist.
Der Sachverhalt der "Verarbeitung":
Der Bauakt wird von der Gemeinde ausschließlich in Papierform geführt, wobei Bauakten innerhalb der Behörde grundsätzlich nach Liegenschaftsadressen geordnet sind und für jede Liegenschaft ein gesonderter Akt angelegt wird. Elektronisch einlangende Schriftstücke werden ausgedruckt, im Papierakt abgelegt und sodann gelöscht. Elektronisch gespeichert werden zudem Entwürfe von Erledigungen. Die Erledigungen selbst werden jedoch ausgedruckt, unterschrieben und sodann ebenfalls nur in Papierform im Akt abgelegt. Zu jeder Liegenschaftsadresse werden projektbezogene Unterakten in Papierform angelegt. Innerhalb dieser Unterakten werden Schriftstücke chronologisch nach Einlangen abgelegt.
Ein Bauakt enthält neben personenbezogenen Daten des/der Bauwerber:innen auch personenbezogene Daten der Liegenschaftseigentümer:in.
Es besteht keine Möglichkeit, im analog geführten Bauakt gezielt nach personenbezogenen Daten deiner Person zu suchen. Dazu müsste der Akt händisch durchgeblättert werden und personenbezogene Daten einzeln händisch herausgefiltert werden.
Die Entscheidung des BVwG:
Die DSGVO gilt für die nichtautomatisierte Verarbeitung personenbezogener Daten nur dann, wenn diese in einem Dateisystem gespeichert sind oder gespeichert werden sollen (Art. 2 Abs. 1 DSGVO).
Für Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind, soll die DSGVO nicht anwendbar sein (Erwägungsgrund 15).
Art. 4 Z 6 DSGVO definiert ein Dateisystem als jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind, unabhängig davon, ob diese Sammlung zentral, dezentral oder nach funktionalen oder geographischen Gesichtspunkten geordnet geführt wird (Heißl in Knyrim, Datkomm Art. 2 DSGVO, Rz 51 und 52 (Stand 01.12.2018), rdb.at).
Für die Annahme eines Dateisystems muss dabei ein Ordnungsgrad erreicht werden, der eine gezielte Suche nach personenbezogenen Daten ermöglicht. Eine Sortierung (bloß) nach Ordnungsnummern oder Zeit ist hierfür nicht ausreichend (vgl. dazu VwSlg 16.477 A/2004; VfSlg 17.716/2005; diese noch zur (Datenschutz- )Richtlinie 95/46/EG ergangene Entscheidung kann auf Grund des zu Art. 2 Abs. 1 iVm Art. 4 Abs. 6 DSGVO gleichen Wortlauts (vgl Art. 3 Abs. 1 iVm Art. 2 lit. c Datenschutzrichtlinie) auf die DSGVO übertragen werden).
Auch nach Haidinger sind Papierakten per se keine manuellen Dateisysteme (Datei) und damit nach Art. 2 Abs. 1 vom Anwendungsbereich der DSGVO ausgenommen.
Allerdings hat der EuGH ausgesprochen, dass bei der Beurteilung, ob eine Datei vorliegt, auf das Kriterium der leichten Wiederauffindbarkeit abzustellen ist (vgl EuGH 10.07.2018, C-25/17, Rz 57 und 61).
Papierakten können damit zwar grundsätzlich dem datenschutzrechtlichen Auskunftsrecht unterliegen.
Akten von Behörden (Bescheid inkl Spruch, Sachverhaltsfeststellungen, andere Teile der Bescheidbegründung sowie das diesem zugrunde liegende gesetzliche Ermittlungsverfahren) unterliegen jedoch nach traditioneller Auffassung keinem Auskunftsanspruch, auch wenn der entsprechende Text – wie auch im konkreten Fall – mit Hilfe automationsunterstützter Datenverarbeitung erstellt worden ist (Haidinger in Knyrim, DatKomm Art 15 DSGVO (Stand 1.12.2021, rdb.at) Rz 30).
Liegt eine strukturierte Datensammlung vor und sind die darin enthaltenen personenbezogenen Daten nach bestimmten Kriterien zugänglich, ist die DSGVO auf ein derartiges „Karteisystem“ anwendbar. Wird eine ungeordnete Dateiensammlung – wenn auch nachträglich – in der Folge computerunterstützt gespeichert (zB durch Scannen oder Abfotografieren) oder strukturiert (zB in Aktenordnern) abgelegt, kommt es wiederum zu einer Anwendung der DSGVO (Jahnel in Harrer/Neumayr/Told, Organhaftung (2022) III. Anwendungsbereich der DSGVO, siehe auch BVwG 28.05.2020, W274 2230370/10001).
Die Gemeinde hat den gegenständlichen Bauakt, der (neben den Daten der Grundstückseigentümerin) auch personenbezogene Daten Bauwerbers enthält, ausschließlich in physischen Ordnern abgelegt, wobei die Dokumente innerhalb des Ordners in der Reihenfolge des Einlangens abgelegt wurden. Eine gezielte Suche nach personenbezogenen Daten des Bauwerbers (oder einer anderen Person) ist nicht möglich, sondern die Gemeinde müsste den Papierakt händisch sichten, um die personenbezogenen Daten des Beschwerdeführers aufzufinden. Dadurch wird der für die Anwendung der DSGVO erforderliche Ordnungsgrad nach der zitierten Rechtsprechung des VwGH sowie des EuGH nicht erreicht.
Hinsichtlich dieser Daten war somit von der Gemeinde keine Auskunft zu erteilen.
Kommentar schreiben