Datenschutz: VwGH zur Verantwortlichkeit bei Zugriff durch Mitarbeiter

4. Juli 2025 Benn-Ibler Rechtsanwälte

Der Verwaltungsgerichtshof (VwGH) entschied, dass eine Gemeinde nicht als Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) gilt, wenn Bedienstete eigenmächtig und aus persönlichem Interesse auf das Zentrale Melderegister (ZMR) zugreifen. Da die Gemeinde weder Zweck noch Mittel dieser Datenverarbeitung bestimmte, liegt keine gemeinsame Verantwortlichkeit nach Art 26 DSGVO vor.

Unbefugter Zugriff auf ZMR durch Gemeindemitarbeiter

Im vorliegenden Fall stand die Frage der „gemeinsamen Verantwortlichkeit“ gemäß Art 26 DSGVO im Mittelpunkt. Bedienstete einer Stadtgemeinde hatten aus persönlichem Interesse auf Daten des ZMR zugegriffen. Der Revisionswerber sah sich dadurch in seinem Recht auf Geheimhaltung verletzt. Ihm wurde weiters auch nicht mitgeteilt, welche Gemeindemitarbeiter die Abfragen durchgeführt hatten, und erhob daher Beschwerde gegen die Gemeinde.

DSB und BVwG: Gemeinde ist nicht verantwortlich iSd DSGVO

Sowohl die Datenschutzbehörde (DSB) als auch das Bundesverwaltungsgericht (BVwG) wiesen das Vorbringen zurück. Sie begründeten die fehlende Verantwortlichkeit der Gemeinde damit, dass die Mitarbeiter unbefugt auf personenbezogene Daten zugreifen und diese für eigene Zwecke nutzen, die nicht den Zielen der Arbeitgeberin entsprechen. In einem solchen Fall sei der betreffende Mitarbeiter selbst als Verantwortlicher zu qualifizieren und trage die daraus resultierenden Pflichten und Haftungen.

VwGH: Voraussetzungen für die gemeinsame Verantwortlichkeit sind nicht gegeben

Auch der VwGH kam zu diesem Ergebnis. Er stellte fest, dass die Zugriffe auf das ZMR ausschließlich aus persönlichem Interesse der jeweiligen Bediensteten erfolgten. Diese hätten damit allein über Zweck und Mittel der Datenverarbeitung entschieden. Die Stadtgemeinde hingegen habe weder den Zweck noch die Mittel dieser konkreten ZMR-Abfragen bestimmt, da diese nicht im Rahmen dienstlicher Aufgaben erfolgt seien.

Eine gemeinsame Verantwortlichkeit nach Art 26 DSGVO setze voraus, dass zwei oder mehrere Verantwortliche gemeinsam die Zwecke und Mittel der Verarbeitung festlegen – was hier nicht gegeben sei.

Der VwGH hielt daher fest, dass die Gemeinde nicht als Verantwortliche im Sinne des Art 4 Z 7 DSGVO anzusehen ist – weder allein noch gemeinsam mit den handelnden Bediensteten.

VwGH Ro 2022/04/0023 (27.03.2025)