Verwaltungsgerichtshof (VwGH)

Es ist nicht davon auszugehen, dass der nationale Gesetzgeber zur Erfüllung des Rechtfertigungstatbestandes des Art. 6 Abs. 1 lit. e DSGVO hinsichtlich einer bestimmten Datenverarbeitung jedenfalls gehalten ist, die Datenverarbeitung selbst im Gesetz zu determinieren. Vielmehr ist der Rechtfertigungstatbestand erfüllt, wenn die wahrzunehmende Aufgabe in der Rechtsgrundlage ausreichend beschrieben wird und die betreffende Datenverarbeitung dem Zweck der Erfüllung dieser Aufgabe dient. Das setzt allerdings voraus, dass eine solche Aufgabe durch das Recht hinreichend klar und bestimmt beschrieben wird. Die betreffende Rechtsgrundlage kann zwar spezifischere Regelungen enthalten, zwingend vorgesehen ist dies jedoch nicht (arg.: "kann" in Art. 6 Abs. 3 dritter Satz DSGVO). Letztlich sieht Art. 6 Abs. 3 vierter Satz DSGVO auch für die Verarbeitung nach Art. 6 Abs. 1 lit. e leg. cit. vor, dass die Rechtsvorschriften ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen müssen.Es ist nicht davon auszugehen, dass der nationale Gesetzgeber zur Erfüllung des Rechtfertigungstatbestandes des Artikel 6, Absatz eins, Litera e, DSGVO hinsichtlich einer bestimmten Datenverarbeitung jedenfalls gehalten ist, die Datenverarbeitung selbst im Gesetz zu determinieren. Vielmehr ist der Rechtfertigungstatbestand erfüllt, wenn die wahrzunehmende Aufgabe in der Rechtsgrundlage ausreichend beschrieben wird und die betreffende Datenverarbeitung dem Zweck der Erfüllung dieser Aufgabe dient. Das setzt allerdings voraus, dass eine solche Aufgabe durch das Recht hinreichend klar und bestimmt beschrieben wird. Die betreffende Rechtsgrundlage kann zwar spezifischere Regelungen enthalten, zwingend vorgesehen ist dies jedoch nicht (arg.: "kann" in Artikel 6, Absatz 3, dritter Satz DSGVO). Letztlich sieht Artikel 6, Absatz 3, vierter Satz DSGVO auch für die Verarbeitung nach Artikel 6, Absatz eins, Litera e, leg. cit. vor, dass die Rechtsvorschriften ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen müssen.

Mit der Festlegung der Aufgaben der Schulleitung in § 56 Abs. 2 SchUG wird auf die schulische Qualitätsentwicklung abgezielt, deren oberstes Ziel der Nutzen für die österreichischen Schülerinnen und Schüler im Sinn ihres größtmöglichen Kompetenzerwerbs ist. Ausgehend davon ist es für den VwGH nicht zweifelhaft, dass die in dieser Bestimmung beschriebenen Aufgaben, die letztlich (auch) auf den einwandfreien Betrieb einer Schule abzielen, im öffentlichen Interesse liegen. Im Hinblick auf den Verweis auf die "Pflege der Verbindung zwischen der Schule, den Schülern und den Erziehungsberechtigten" sowie auf die "Außenbeziehungen und Öffnung der Schule" ist die Aufgabe - bezogen auf die Datenverarbeitung der Veröffentlichung des Namens mit akademischen Grad und der dienstlichen E-Mail-Adresse eines Lehrers auf der Website der Schule - auch als ausreichend bestimmt anzusehen. Schließlich ist es nach Ansicht des VwGH nicht als zweifelhaft anzusehen, dass die Verarbeitung von Daten zum Zweck der Ermöglichung einer direkten Kommunikation zwischen Schülern, Erziehungsberechtigten und Lehrkräften der Erfüllung dieser im öffentlichen Interesse liegenden Aufgabe dient.Mit der Festlegung der Aufgaben der Schulleitung in Paragraph 56, Absatz 2, SchUG wird auf die schulische Qualitätsentwicklung abgezielt, deren oberstes Ziel der Nutzen für die österreichischen Schülerinnen und Schüler im Sinn ihres größtmöglichen Kompetenzerwerbs ist. Ausgehend davon ist es für den VwGH nicht zweifelhaft, dass die in dieser Bestimmung beschriebenen Aufgaben, die letztlich (auch) auf den einwandfreien Betrieb einer Schule abzielen, im öffentlichen Interesse liegen. Im Hinblick auf den Verweis auf die "Pflege der Verbindung zwischen der Schule, den Schülern und den Erziehungsberechtigten" sowie auf die "Außenbeziehungen und Öffnung der Schule" ist die Aufgabe - bezogen auf die Datenverarbeitung der Veröffentlichung des Namens mit akademischen Grad und der dienstlichen E-Mail-Adresse eines Lehrers auf der Website der Schule - auch als ausreichend bestimmt anzusehen. Schließlich ist es nach Ansicht des VwGH nicht als zweifelhaft anzusehen, dass die Verarbeitung von Daten zum Zweck der Ermöglichung einer direkten Kommunikation zwischen Schülern, Erziehungsberechtigten und Lehrkräften der Erfüllung dieser im öffentlichen Interesse liegenden Aufgabe dient.

Die Bedingung der Erforderlichkeit im Sinn des Art. 6 Abs. 1 lit. e DSGVO verlangt entsprechend dem Schutzzweck des Art. 1 Abs. 2 DSGVO, die Verarbeitung personenbezogener Daten auf das absolut Notwendige zu beschränken. Der EuGH hat in seinem (noch zur "Vorgängerregelung" des Art. 7 lit. e der RL 95/46/EG ergangenen) Urteil EuGH 16.12.2008, C-524/06, Huber, Rn. 62, zum Ausdruck gebracht, dass eine Datenverarbeitung erforderlich (im Sinn dieser Bestimmung) sein kann, wenn sie zu einer effizienteren Anwendung von (dort aufenthaltsrechtlichen) Vorschriften führt. Dies lässt sich angesichts der Vergleichbarkeit der Regelungen auf die aktuelle Bestimmung des Art. 6 Abs. 1 lit. e DSGVO übertragen. Die Verarbeitung muss erforderlich sein, damit der Verantwortliche die ihm übertragene Aufgabe effizient erfüllen kann.Die Bedingung der Erforderlichkeit im Sinn des Artikel 6, Absatz eins, Litera e, DSGVO verlangt entsprechend dem Schutzzweck des Artikel eins, Absatz 2, DSGVO, die Verarbeitung personenbezogener Daten auf das absolut Notwendige zu beschränken. Der EuGH hat in seinem (noch zur "Vorgängerregelung" des Artikel 7, Litera e, der RL 95/46/EG ergangenen) Urteil EuGH 16.12.2008, C-524/06, Huber, Rn. 62, zum Ausdruck gebracht, dass eine Datenverarbeitung erforderlich (im Sinn dieser Bestimmung) sein kann, wenn sie zu einer effizienteren Anwendung von (dort aufenthaltsrechtlichen) Vorschriften führt. Dies lässt sich angesichts der Vergleichbarkeit der Regelungen auf die aktuelle Bestimmung des Artikel 6, Absatz eins, Litera e, DSGVO übertragen. Die Verarbeitung muss erforderlich sein, damit der Verantwortliche die ihm übertragene Aufgabe effizient erfüllen kann.

Der Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO legt drei kumulative Tatbestandselemente fest: Die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß. Die Verwendung von Daten ist erheblich, wenn sie für die Erreichung des festgelegten Zwecks geeignet und erforderlich ist. Dies ist dann nicht der Fall, wenn der Zweck ohne die konkreten Daten genauso gut erfüllt werden kann. Der Grundsatz der Datenminimierung verbietet damit nicht nur die Erhebung von Daten, die keinen Bezug zu dem Verarbeitungszweck haben oder nicht geeignet sind, zur Erreichung des Zwecks beizutragen, sondern auch die Erhebung personenbezogener Daten, die für die in diesem Zeitpunkt festgelegten Zwecke objektiv nicht erforderlich sind und in keinem Zusammenhang mit diesen Zwecken stehen. Kann der verfolgte legitime Zweck mit einem geringeren Maß an Datenerhebung, -verarbeitung oder -nutzung genauso gut verwirklicht werden, ist der beabsichtigte Umfang nicht auf das notwendige Maß beschränkt.Der Grundsatz der Datenminimierung nach Artikel 5, Absatz eins, Litera c, DSGVO legt drei kumulative Tatbestandselemente fest: Die Angemessenheit, die Erheblichkeit und die Beschränkung auf das notwendige Maß. Die Verwendung von Daten ist erheblich, wenn sie für die Erreichung des festgelegten Zwecks geeignet und erforderlich ist. Dies ist dann nicht der Fall, wenn der Zweck ohne die konkreten Daten genauso gut erfüllt werden kann. Der Grundsatz der Datenminimierung verbietet damit nicht nur die Erhebung von Daten, die keinen Bezug zu dem Verarbeitungszweck haben oder nicht geeignet sind, zur Erreichung des Zwecks beizutragen, sondern auch die Erhebung personenbezogener Daten, die für die in diesem Zeitpunkt festgelegten Zwecke objektiv nicht erforderlich sind und in keinem Zusammenhang mit diesen Zwecken stehen. Kann der verfolgte legitime Zweck mit einem geringeren Maß an Datenerhebung, -verarbeitung oder -nutzung genauso gut verwirklicht werden, ist der beabsichtigte Umfang nicht auf das notwendige Maß beschränkt.

Der EuGH hat (im Zusammenhang mit Art. 6 Abs. 1 lit. f DSGVO) festgehalten, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen ist, der in Art. 5 Abs. 1 lit. c DSGVO verankert ist und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (vgl. EuGH 7.12.2023, C-26/22 und C-64/22, SCHUFA Holding [Restschuldbefreiung], Rn. 78; EuGH 4.7.2023, C-252/21, Meta Platforms ua., Rn. 109). Diese Rechtsprechung kann nach Auffassung des VwGH auch auf das in Art. 6 Abs. 1 lit. e DSGVO zu prüfende Kriterium der Erforderlichkeit der Datenverarbeitung übertragen werden (vgl. dazu auch die Ausführungen im Urteil EuGH 22.6.2021, C-439/19, Latvijas Republikas Saeima [Strafpunkte], Rn. 104; darin hält der EuGH im Zusammenhang mit der Einhaltung des Grundsatzes der Datenminimierung fest, dass damit kein allgemeines und absolutes Verbot eingeführt werden soll und dass diese Bestimmung insbesondere der Übermittlung personenbezogener Daten an die Öffentlichkeit nicht entgegensteht, wenn diese Übermittlung im Sinn von Art. 6 Abs. 1 lit. e DSGVO für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt). Die Bedingung der Erforderlichkeit in Art. 6 Abs. 1 lit. b bis f DSGVO ist daher gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen.Der EuGH hat (im Zusammenhang mit Artikel 6, Absatz eins, Litera f, DSGVO) festgehalten, dass die Voraussetzung der Erforderlichkeit der Datenverarbeitung gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen ist, der in Artikel 5, Absatz eins, Litera c, DSGVO verankert ist und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind vergleiche EuGH 7.12.2023, C-26/22 und C-64/22, SCHUFA Holding [Restschuldbefreiung], Rn. 78; EuGH 4.7.2023, C-252/21, Meta Platforms ua., Rn. 109). Diese Rechtsprechung kann nach Auffassung des VwGH auch auf das in Artikel 6, Absatz eins, Litera e, DSGVO zu prüfende Kriterium der Erforderlichkeit der Datenverarbeitung übertragen werden vergleiche dazu auch die Ausführungen im Urteil EuGH 22.6.2021, C-439/19, Latvijas Republikas Saeima [Strafpunkte], Rn. 104; darin hält der EuGH im Zusammenhang mit der Einhaltung des Grundsatzes der Datenminimierung fest, dass damit kein allgemeines und absolutes Verbot eingeführt werden soll und dass diese Bestimmung insbesondere der Übermittlung personenbezogener Daten an die Öffentlichkeit nicht entgegensteht, wenn diese Übermittlung im Sinn von Artikel 6, Absatz eins, Litera e, DSGVO für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt). Die Bedingung der Erforderlichkeit in Artikel 6, Absatz eins, Litera b bis f DSGVO ist daher gemeinsam mit dem Grundsatz der Datenminimierung zu prüfen.

Nach der Rechtsprechung des EuGH beanspruchen die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung, sondern müssen im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden. Somit können Einschränkungen vorgesehen werden, sofern sie gemäß Art. 52 Abs. 1 GRC gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren. Um festzustellen, ob eine Verarbeitung personenbezogener Daten im Sinn von Art. 6 Abs. 1 lit. e DSGVO für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichem Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, ist somit insbesondere zu prüfen, ob sie angesichts der Schwere des durch sie bewirkten Eingriffs in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten im Hinblick auf die Verwirklichung der verfolgten Ziele gerechtfertigt und insbesondere verhältnismäßig ist (vgl. zu all dem - dort im Zusammenhang mit der Frage der Zulässigkeit einer nationalen Regelung, die den Zugang der Öffentlichkeit zu personenbezogenen Daten über Strafpunkte für Verkehrsverstöße vorsieht - EuGH 22.6.2021, C-439/19, Latvijas Republikas Saeima [Strafpunkte], Rn. 105 f).Nach der Rechtsprechung des EuGH beanspruchen die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung, sondern müssen im Hinblick auf ihre gesellschaftliche Funktion gesehen und gegen andere Grundrechte abgewogen werden. Somit können Einschränkungen vorgesehen werden, sofern sie gemäß Artikel 52, Absatz eins, GRC gesetzlich vorgesehen sind und den Wesensgehalt der Grundrechte sowie den Grundsatz der Verhältnismäßigkeit wahren. Um festzustellen, ob eine Verarbeitung personenbezogener Daten im Sinn von Artikel 6, Absatz eins, Litera e, DSGVO für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichem Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, ist somit insbesondere zu prüfen, ob sie angesichts der Schwere des durch sie bewirkten Eingriffs in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten im Hinblick auf die Verwirklichung der verfolgten Ziele gerechtfertigt und insbesondere verhältnismäßig ist vergleiche zu all dem - dort im Zusammenhang mit der Frage der Zulässigkeit einer nationalen Regelung, die den Zugang der Öffentlichkeit zu personenbezogenen Daten über Strafpunkte für Verkehrsverstöße vorsieht - EuGH 22.6.2021, C-439/19, Latvijas Republikas Saeima [Strafpunkte], Rn. 105 f).

Nach der Rechtsprechung des EuGH hinsichtlich der Erforderlichkeit der Verarbeitung personenbezogener Daten ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann (vgl. EuGH 7.12.2023, C-26/22 und C-64/22, SCHUFA Holding [Restschuldbefreiung]). Die Frage der Zumutbarkeit setzt voraus, dass derselbe legitime Zweck "genauso gut" mit einem geringeren Maß an Datenverarbeitung oder - in den Worten des EuGH zu Art. 6 Abs. 1 lit. f DSGVO - "ebenso wirksam mit anderen Mitteln" verwirklicht werden kann. Eine Datenverarbeitung kann sich - unter Berücksichtigung der Umstände des Einzelfalls - auch dann als erforderlich erweisen, wenn damit die im öffentlichen Interesse stehenden Aufgaben des Verantwortlichen effizient(er) erfüllt werden können.Nach der Rechtsprechung des EuGH hinsichtlich der Erforderlichkeit der Verarbeitung personenbezogener Daten ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann vergleiche EuGH 7.12.2023, C-26/22 und C-64/22, SCHUFA Holding [Restschuldbefreiung]). Die Frage der Zumutbarkeit setzt voraus, dass derselbe legitime Zweck "genauso gut" mit einem geringeren Maß an Datenverarbeitung oder - in den Worten des EuGH zu Artikel 6, Absatz eins, Litera f, DSGVO - "ebenso wirksam mit anderen Mitteln" verwirklicht werden kann. Eine Datenverarbeitung kann sich - unter Berücksichtigung der Umstände des Einzelfalls - auch dann als erforderlich erweisen, wenn damit die im öffentlichen Interesse stehenden Aufgaben des Verantwortlichen effizient(er) erfüllt werden können.

Im Zuge der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO ist danach zu differenzieren, ob die verarbeiteten Daten den (so genannten) Kernbereich der geschützten Privatsphäre betreffen oder die (so genannte) Sozialsphäre, zu der auch die berufliche Sphäre zu zählen ist (vgl. VwGH 17.5.2024, Ro 2022/04/0026, 0027, Rn. 32 f, mit Verweis auf OGH 2.2.2022, 6 Ob 129/21w). Vor dem Hintergrund der (zu Art. 6 Abs. 1 lit. e DSGVO ergangenen) Rechtsprechung des EuGH in der Rs C-439/19, der zufolge die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern auch im Hinblick auf ihre gesellschaftliche Funktion gesehen werden müssen, ist für den VwGH nicht zweifelhaft, dass auch bei der Beurteilung der Rechtmäßigkeit einer Datenverarbeitung nach Art. 6 Abs. 1 lit. e DSGVO darauf Bedacht genommen werden kann, dass die dienstliche E-Mail-Adresse eines Lehrers nicht den Kernbereich der geschützten Privatsphäre, sondern die (so genannte) Sozialsphäre betrifft, die sich etwa durch die Interaktion mit Außenstehenden (vorliegend zwischen den Lehrkräften und den Schülern bzw. Erziehungsberechtigten) auszeichnet. Der EuGH hat in dem soeben zitierten Urteil C-439/19 (Rn. 113) auch zum Ausdruck gebracht, dass bei einer Beurteilung der Erforderlichkeit einer Datenverarbeitung nach Art. 6 Abs. 1 lit. e DSGVO auch die Sensibilität der fraglichen Daten und die Schwere des Eingriffs zu berücksichtigen ist. Ausgehend davon ist es nicht zu beanstanden, dass die Datenverarbeitung der Veröffentlichung der dienstlichen E-Mail-Adresse eines Lehrers auf der Website der Schule vor diesem Hintergrund als ein geringerer Eingriff in den Schutz der personenbezogenen Daten angesehen wurde.Im Zuge der Interessenabwägung nach Artikel 6, Absatz eins, Litera f, DSGVO ist danach zu differenzieren, ob die verarbeiteten Daten den (so genannten) Kernbereich der geschützten Privatsphäre betreffen oder die (so genannte) Sozialsphäre, zu der auch die berufliche Sphäre zu zählen ist vergleiche VwGH 17.5.2024, Ro 2022/04/0026, 0027, Rn. 32 f, mit Verweis auf OGH 2.2.2022, 6 Ob 129/21w). Vor dem Hintergrund der (zu Artikel 6, Absatz eins, Litera e, DSGVO ergangenen) Rechtsprechung des EuGH in der Rs C-439/19, der zufolge die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten keine uneingeschränkte Geltung beanspruchen, sondern auch im Hinblick auf ihre gesellschaftliche Funktion gesehen werden müssen, ist für den VwGH nicht zweifelhaft, dass auch bei der Beurteilung der Rechtmäßigkeit einer Datenverarbeitung nach Artikel 6, Absatz eins, Litera e, DSGVO darauf Bedacht genommen werden kann, dass die dienstliche E-Mail-Adresse eines Lehrers nicht den Kernbereich der geschützten Privatsphäre, sondern die (so genannte) Sozialsphäre betrifft, die sich etwa durch die Interaktion mit Außenstehenden (vorliegend zwischen den Lehrkräften und den Schülern bzw. Erziehungsberechtigten) auszeichnet. Der EuGH hat in dem soeben zitierten Urteil C-439/19 (Rn. 113) auch zum Ausdruck gebracht, dass bei einer Beurteilung der Erforderlichkeit einer Datenverarbeitung nach Artikel 6, Absatz eins, Litera e, DSGVO auch die Sensibilität der fraglichen Daten und die Schwere des Eingriffs zu berücksichtigen ist. Ausgehend davon ist es nicht zu beanstanden, dass die Datenverarbeitung der Veröffentlichung der dienstlichen E-Mail-Adresse eines Lehrers auf der Website der Schule vor diesem Hintergrund als ein geringerer Eingriff in den Schutz der personenbezogenen Daten angesehen wurde.