TE Dsk BescheidBeschwerde 2018/8/27 DSB-D123.085/0003-DSB/2018

GZ: DSB-D123.085/0003-DSB/2018 vom 27.8.2018

[Anmerkung Bearbeiter: Namen und Firmen, Rechtsformen und Produktbezeichnungen, Adressen (inkl. URLs, IP- und E-Mail-Adressen), Aktenzahlen (und dergleichen), etc., sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

BESCHEID

SPRUCH

Die Datenschutzbehörde entscheidet über die Datenschutzbeschwerde von Richard A*** (Beschwerdeführer) vom 26. Juni 2018 gegen die N*** Personaldienstleistungen GmbH (Beschwerdegegnerin) wegen Verletzung im Recht auf Löschung wie folgt:

-    Die Beschwerde wird abgewiesen.

Rechtsgrundlagen: Art. 17 Abs. 3 lit e, Art. 57 Abs. 1 lit. f sowie Art. 77 Abs. 1 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), ABl. Nr. L 119 S. 1; § 24 des Datenschutzgesetzes – DSG, BGBl. I Nr. 165/1999 idgF; §§ 17 Abs. 1 Z 1, 26 Abs. 1 und 29 Abs. 1 des Bundesgesetzes über die Gleichbehandlung (Gleichbehandlungsgesetz - GlBG), BGBl. I Nr. 66/2004 idgF.

BEGRÜNDUNG

A. Vorbringen der Parteien und Verfahrensgang

1. Mit Eingabe vom 26. Juni 2018 behauptete der Beschwerdeführer eine Verletzung im Recht auf Löschung und brachte vor, dass er am 31. Mai 2018 per E-Mail die Löschung seiner personenbezogenen Daten aus der Bewerberdatenbank der Beschwerdegegnerin beantragt habe. Die Beschwerdegegnerin habe mit Schreiben vom 19. Juni 2018 jedoch mitgeteilt, dass sie diesem Antrag auf Löschung nicht entsprechen werde. Zwar werde die gegenständliche Bewerbung des Beschwerdegegners nicht mehr für ausgeschriebene Stellen der Beschwerdegegnerin in Erwägung gezogen werden, doch ergebe sich eine gesetzliche Aufbewahrungspflicht nach dem Gleichbehandlungsgesetz von sechs Monaten zuzüglich einem Monat für den potentiellen Klageweg. Der Eingabe ist die dem Beschwerdeverfahren vor der Datenschutzbehörde vorangegangene Korrespondenz zwischen Beschwerdeführer und Beschwerdegegnerin beigefügt.

2. Die Beschwerdegegnerin brachte mit Stellungnahme vom 16. Juli 2018 zusammengefasst vor, dass sich der Beschwerdeführer am 17. Mai 2018 sowie am 11. Juni 2018 über die Bewerberdatenbank „hr-***“ beworben habe. Grund für die – bis auf Weiteres – zulässige Speicherung der Daten wäre das Gleichbehandlungsgesetz. Es sei erforderlich, die Bewerberunterlagen zumindest für die Dauer von sechs Monaten aufzubewahren, sodass sich die Beschwerdegegnerin bei einer etwaigen Inanspruchnahme unter Bezugnahme auf die bei der Bewerbung zur Verfügung gestellten Daten freibeweisen könne.

3. Der Beschwerdeführer hat im Rahmen des ihm eingeräumten Parteiengehörs durch Schreiben der Datenschutzbehörde vom 20. Juli 2018 keine Stellungnahme mehr abgegeben.

B. Beschwerdegegenstand

Aufgrund des Vorbringens des Beschwerdeführers ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdegegnerin den Beschwerdeführer dadurch im Recht auf Löschung verletzt hat, indem sie dem Antrag auf Löschung vom 31. Mai 2018 nicht entsprochen hat.

C. Sachverhaltsfeststellungen

1. Der Beschwerdeführer hat sich am 17. Mai 2018 sowie am 11. Juni 2018 bei der Beschwerdegegnerin beworben, weshalb die personenbezogenen Daten des Beschwerdeführers in der Bewerberdatenbank der Beschwerdegegnerin abgespeichert wurden.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf dem insofern unbestrittenen Vorbringen der Beschwerdegegnerin vom 16. Juli 2018.

2. Der Beschwerdeführer beantragte am 31. August 2018 die Löschung seiner Daten aus der Bewerberdatenbank der Beschwerdegegnerin. Mit Schreiben vom 19. Juni 2018 teilte die Beschwerdegegnerin mit, dass dem Antrag nicht entsprochen wird, die Bewerberdaten jedoch nicht mehr für ausgeschriebene Stellen herangezogen werden. Die Beschwerdegegnerin teilte dem Beschwerdeführer ferner mit, dass die Bewerberdaten sechs Monate zuzüglich eines Monats für den potentiellen Klageweg, insgesamt demnach sieben Monate nach Bewerbungseingang, gelöscht werden. Dem Beschwerdeführer wurde darüber hinaus mitgeteilt, dass die Bewerberdaten aufgrund eines potentiellen Verfahrens nach dem Gleichbehandlungsgesetz - zumindest vorerst - noch gespeichert werden müssen.

Beweiswürdigung: Die getroffenen Feststellungen beruhen auf der Eingabe des Beschwerdeführers vom 26. Juni 2018 sowie der dem Beschwerdeverfahren vor der Datenschutzbehörde vorangegangenen Korrespondenz zwischen Beschwerdeführer und Beschwerdegegnerin, die der Eingabe beigefügt ist.

D. In rechtlicher Hinsicht folgt daraus:

D.1 Anzuwendende Rechtsvorschriften

Art. 17 DSGVO lautet samt Überschrift:

Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1)   Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a)

Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b)

Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c)

Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d)

Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e)

Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f)

Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2)   Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3)   Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a)

zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b)

zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c)

aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d)

für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e)

zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

§ 17 Abs. 1 Z 1 GlBG lautet samt Überschrift:

Gleichbehandlungsgebot im Zusammenhang mit einem Arbeitsverhältnis

§ 17. (1) Auf Grund der ethnischen Zugehörigkeit, der Religion oder Weltanschauung, des Alters oder der sexuellen Orientierung darf im Zusammenhang mit einem Arbeitsverhältnis niemand unmittelbar oder mittelbar diskriminiert werden, insbesondere nicht

1.

bei der Begründung des Arbeitsverhältnisses,

§ 26 Abs. 1 GlBG lautet samt Überschrift auszugsweise:

Rechtsfolgen der Verletzung des Gleichbehandlungsgebotes

§ 26. (1) Ist das Arbeitsverhältnis wegen Verletzung des Gleichbehandlungsgebotes des § 17 Abs. 1 Z 1 nicht begründet worden, so ist der/die Arbeitgeber/in gegenüber dem/der Stellenwerber/in zum Ersatz des Vermögensschadens und zu einer Entschädigung für die erlittene persönliche Beeinträchtigung verpflichtet. […]

§ 29 Abs. 1 GlBG lautet samt Überschrift:

Fristen für die Geltendmachung von Ansprüchen

§ 29. (1) Ansprüche nach § 26 Abs. 1 und 5 sind binnen sechs Monaten gerichtlich geltend zu machen. Die Frist zur Geltendmachung der Ansprüche nach § 26 Abs. 1 und 5 beginnt mit der Ablehnung der Bewerbung oder Beförderung. Ansprüche nach § 26 Abs. 11 sind binnen eines Jahres gerichtlich geltend zu machen. Für Ansprüche nach § 26 Abs. 2, 3, 4, 6, 8, 9 und 10 gilt die dreijährige Verjährungsfrist gemäß § 1486 des Allgemeinen Bürgerlichen Gesetzbuches.

D. 2 Ausnahmen vom Recht auf Löschung

Das Recht auf Löschung gemäß Art. 17 Abs. 1 und 2 DSGVO kommt dann nicht in Betracht, wenn eine Verarbeitung in den von Art. 17 Abs. 3 lit a bis e DSGVO taxativ aufgezählten Fällen erforderlich ist.

Im vorliegenden Fall kommt der Tatbestand nach Art. 17 Abs. 3 lit e DSGVO in Betracht, also eine Verarbeitung, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sein könnte.

Dazu ist festzuhalten, dass die „Verteidigung von Rechtsansprüchen“ - nicht widersprüchlich zum Wortlaut - auch „Verteidigung gegen Rechtsansprüche“ meint. Diese Regelung greift in zeitlicher Hinsicht jedenfalls dann, wenn die Geltendmachung, Ausübung oder Verteidigung von (bzw. gegen) Rechtsansprüchen schon stattfindet oder sicher bevorsteht. Die bloß abstrakte Möglichkeit rechtlicher Auseinandersetzungen ist nicht ausreichend (vgl. Herbst in Kühling/Buchner, DSGVO Kommentar [2017] Art. 17 Rz 83).

Der Verfassungsgerichtshof hat im Zusammenhang mit einem Löschbegehren gegen einen Verantwortlichen des öffentlichen Bereichs ebenfalls ausgesprochen, dass der bloß allgemeine Hinweis, es wären noch „entsprechende Verfahren anhängig“, nicht ausreichend ist. Vielmehr muss im Einzelfall konkret dargelegt werden, weshalb nach Abschluss eines Verfahrens eine „Notwendigkeit zur Aufbewahrung der Unterlagen betreffend das Privatleben“ des Betroffenen besteht. Ferner ist darzulegen, welche konkreten Verfahren noch anhängig sind, die in Verbindung mit den Unterlagen des bereits abgeschlossenen Verfahrens bestehen (vgl. das Erkenntnis des Verfassungsgerichtshofs vom 12. Dezember 2017, E 3249/2016-11; vgl. auch den Bescheid der Datenschutzbehörde vom 25. April 2018, DSB-D122.776/0007-DSB/2018).

Umgelegt auf ein Löschbegehren gegen einen Verantwortlichen des privaten Bereichs (wie vorliegend) bedeuten diese Ausführungen, dass der allgemeine Hinweis auf potenziell zukünftige, noch nicht anhängige bzw. nicht sicher bevorstehenden (Gerichts-) Verfahren nicht ausreichend ist, um dem Löschbegehren nicht entsprechen zu müssen. Vielmehr muss der Verantwortliche darlegen, welche konkreten zukünftigen Verfahren auf welcher Grundlage anhängig gemacht werden könnten und inwiefern durch derartige Verfahren zum Zeitpunkt der Entscheidung der Datenschutzbehörde eine Notwendigkeit zur weiteren Speicherung der personenbezogenen Daten begründet wird.

D. 3 In der Sache

Im vorliegenden Fall verweigerte die Beschwerdegegnerin – zumindest vorerst – die sofortige Löschung der Bewerberdaten des Beschwerdeführers und führte eine mögliche Geltendmachung eines Ersatzanspruches nach § 26 Abs. 1 GlBG ins Treffen.

Dieser Ausführung der Beschwerdegegnerin ist im Ergebnis nicht entgegenzutreten:

Nach § 29 Abs. 1 GlBG kann ein Ersatzanspruch gemäß § 26 Abs. 1 GlBG innerhalb einer Frist von sechs Monaten geltend gemacht werden. Die Beschwerdegegnerin bezieht sich somit nicht allgemein auf ein potenziell zukünftiges Verfahren, sondern benennt einen konkreten Anspruch, der ihr gegenüber innerhalb eines konkreten Zeitraumes geltend gemacht werden könnte.

Bewerberdaten können naturgemäß als Grundlage für die Entscheidung dienen, ob ein Arbeitsverhältnis mit einem gewissen Bewerber begründet wird. Vor diesem Hintergrund ist iSv Art. 17 Abs. 3 lit e DSGVO die weitere Speicherung von Bewerberdaten notwendig, um sich gegenüber einem Anspruch gemäß § 26 Abs. 1 GlBG zu verteidigen bzw. um im Rahmen eines Verfahrens nach dem GlBG begründen zu können, weshalb keine Diskriminierung iSv § 17 Abs. 1 Z 1 GlBG vorliegen würde.

Ferner benannte die Beschwerdegegnerin einen konkreten Zeitpunkt, ab wann sie die Bewerberdaten löschen werde. Für den Beschwerdeführer ist somit klar erkennbar, ab welchem Zeitpunkt seine Bewerberdaten gelöscht werden. Darüber hinaus erklärte sich die Beschwerdegegnerin auch bereit, die Bewerberdaten des Beschwerdeführers zum ehest möglichen Zeitpunkt zu löschen, also nach Ablauf der Frist von § 29 Abs. 1 GlBG (gegenständlich sieben Monate nach Bewerbungseingang, somit berechnet ab dem 17. Mai 2018 bzw. 11. Juni 2018).

Der zusätzlich berechnete Monat zu der sechsmonatigen Frist nach § 29 Abs. 1 GlBG, um einen potenziellen Klageweg einzuberechnen, sohin sieben Monate ab Bewerbungseingang, ist angemessen und nicht unverhältnismäßig lange. Die Beschwerdegegnerin erklärte sich ebenfalls dazu bereit, die gegenständlichen Bewerberdaten zwecks Verteidigung gegen einen Ersatzanspruch nach dem GlBG aufzubewahren, und diese nicht mehr für die Besetzung etwaiger Stellen heranzuziehen.

D. 4 Ergebnis

Im vorliegenden Fall ist die sechsmonatige Frist von § 29 Abs. 1 GlBG (bzw. sieben Monate ab Bewerbungseingang) zum Zeitpunkt der Entscheidung der Datenschutzbehörde noch nicht abgelaufen.

Vor diesem Hintergrund liegen die Voraussetzungen von Art. 17 Abs. 3 lit e DSGVO vor, weshalb im Ergebnis ein Löschungsanspruch zu verneinen ist.

Daher war spruchgemäß zu entscheiden.

Im Übrigen steht dem Beschwerdeführer mit dem Auskunftsrecht nach Art. 15 DSGVO auch ein Instrument zur Verfügung, um zu überprüfen, ob die Beschwerdegegnerin nach Ablauf der Frist weiterhin personenbezogene Daten des Beschwerdeführers (konkret: Bewerberdaten) speichert.