Unvollständige Auskunft durch falsche E-Mail-Adresse
BVwG, 27.03.2025, GZ W254 2297150-1/5E
Rechtssatz:
Die Verarbeitung und Nichtbeauskunftung einer falschen, nicht existenten E-Mail-Adresse verletzt das Auskunftsrecht gemäß Art. 15 DSGVO.
Sachverhalt
Ein Betroffener stellte am 26.08.2022 per E-Mail einen Antrag auf Auskunft gemäß Art. 15 DSGVO an einen Verantwortlichen (Rechtsanwalt).
In der Folge erhielt er eine Auskunft, in der jedoch nicht die von ihm verwendete und tatsächlich verarbeitete E-Mail-Adresse aufschien, sondern eine andere, die er nicht betreibt. Dies führte zur Beschwerde an die Datenschutzbehörde (DSB), die teilweise stattgab: Die richtige E-Mail-Adresse sei nicht beauskunftet worden.
Der Verantwortliche erhob gegen den Bescheid der DSB Beschwerde an das Bundesverwaltungsgericht (BVwG) mit dem Argument, es handle sich bei der
E-Mail-Adresse nicht um ein personenbezogenes Datum und die betroffene Person sei über die Verarbeitung informiert gewesen.
Rechtliche Begründung
Das BVwG wies die Beschwerde ab und bestätigte die Auffassung der Datenschutzbehörde:
-
Personenbezogenes Datum: Die verwendete E-Mail-Adresse ist sehr wohl ein personenbezogenes Datum iSd Art. 4 Z 1 DSGVO, da sie mit der betroffenen Person verknüpft werden kann.
-
Unvollständige Auskunft: Wird eine tatsächlich verarbeitete E-Mail-Adresse nicht im Rahmen einer Auskunft genannt, stellt dies eine Verletzung des Auskunftsrechts dar (Art. 15 DSGVO).
-
Informationsstand des Betroffenen: Es ist irrelevant, ob die betroffene Person die Information selbst übermittelt hat oder bereits darüber informiert war; das Auskunftsrecht besteht unabhängig davon.
-
Berufsrecht des Rechtsanwalts: Der Hinweis auf § 9 Abs. 4 RAO (Verschwiegenheitspflicht) ändert nichts an der Auskunftspflicht, da kein schutzwürdiges Interesse entgegenstand.
Fazit und Empfehlung für Verantwortliche
Diese Entscheidung verdeutlicht, dass auch scheinbar „technische“ oder fehlerhafte E-Mail-Adressen personenbezogene Daten
darstellen können – wenn sie in einem Zusammenhang mit einer identifizierbaren Person verarbeitet werden. Selbst eine falsche oder fehlerhafte Zuordnung kann eine
unvollständige Auskunft darstellen und zu einem Verstoß gegen Art. 15 DSGVO
führen.
Verantwortliche sollten:
-
sicherstellen, dass alle tatsächlich verarbeiteten Daten, auch E-Mail-Adressen, vollständig und korrekt beauskunftet werden, auch wenn diese verarbeiteten Daten unrichtig sind
-
Auskunftsersuchen sorgfältig prüfen, selbst wenn die betroffene Person die Information selbst übermittelt hat,
-
keine pauschalen Ausnahmen anführen, etwa aus Berufsrecht, ohne konkrete Begründung.
Relevante Normen:
Art. 4 Z 1 DSGVO, Art. 15 DSGVO, § 24 DSG, § 9
Abs. 4 RAO
Kommentar schreiben