Rechtsprechungslinien

Mit diesen Rechtsprechungslinien wird ein Versuch unternommen, die Rechtsprechung der unterschiedlichen Behörden und Gerichte zu Datenschutz und Digitalisierung zu systematisieren. Ein Anspruch auf Vollständigkeit besteht nicht. Die Rechtsprechungslinien werden ständig weiterentwickelt und ggf auch berichtigt.

1. Grundrecht auf Datenschutz

• Die DSGVO gilt nur für die Verarbeitung der Daten natürlicher Personen. Die Daten von Unternehmern können umfasst sein, wenn aufgrund ihres Namens (Firma) eine oder mehrere natürliche Personen bestimmt werden (die Bestimmbarkeit natürlicher Personen genügt nicht; EuGH 09.11.2010, C-92/09, Schecke; EuGH 17.12.2015, C-419/14, WebMindLicenses; EuGH 18.06.2020, C-78/18, Kommission/Ungarn; EuGH 10.12.2020, C-620/19, J & S Service; OGH 13.08.2025, 6Ob173/24w; DSB 17.09.2025, 2025-0.746.087; DSB 08.10.2025, 2025-0.620.443).
• Juristische Personen dürfen eine Verletzung im Recht auf Geheimhaltung iSd § 1 DSG bei der DSB geltend machen, denn ihre Wirtschaftsdaten sind personenbezogene Daten (VfSlg 12.228/1989; VfSlg 19.673/2012; VfSlg 20.674/2024; VfGH 18.12.2025, G105/2025; BVwG 30.07.2024, W287 2254678-1; BVwG 27.10.2025, W137 2290323-1; DSB 21.11.2022, 2022-0.792.182; DSB 26.04.2023, 2023-0.072.284; DSB 29.07.2025, 2024-0.368.729; DSB 17.09.2025, 2025-0.746.087; DSB 08.10.2025, 2025-0.620.443).
• Eine Datenverarbeitung im Einklang mit den anzuwendenden Verfahrensgesetzen ist zulässig (BVwG 23.01.2024, W108 2250843-1; BFG 06.01.2024, RV/7100970/2023; BFG 26.09.2024, RV/5101151/2020; BVwG 07.10.2024, W108 2277566-1).

2. Betroffenenrechte

• Es gibt kein Recht auf Feststellung einer in der Vergangenheit liegenden Verletzung des Rechts auf Auskunft (VwGH 06.03.2024, Ro 2021/04/0027; BVwG 05.12.2023, W211 2260885-1; BVwG 11.12.2023, W137 2233746-1; BVwG 11.02.2025, W254 2295624-1; BVwG 06.05.2025, W256 2307865-1; BVwG 10.06.2025, W274 2307868-1; BVwG 23.06.2025, W211 2291530-1; BVwG 25.06.2025, W254 2307864-1; BVwG 30.06.2025, W211 2307833-1; BVwG 14.08.2025, W298 2309032-1). Dasselbe gilt für die Gewährung des Informationszugangs nach dem IFG (BVwG 10.11.2025, W176 2322793-1).
• Das "Recht auf Kopie" ist kein eigenständiges Recht. Die Ausfolgung einer Kopie von Auszügen aus Dokumenten oder Datenbanken ist nur dann erforderlich, wenn dies zur wirksamen Ausübung der Betroffenenrechte unerlässlich ist (EuGH 04.05.2023, C-487/21, Österreichische Datenschutzbehörde; EuGH 26.10.2023, C-307/22, FT; EuGH 27.05.2024, C-312/23, Addiko Bank; VwGH 03.08.2023, Ro 2020/04/0035; BVwG 05.12.2023, W211 2261719-1; BVwG 22.01.2024, W252 2246156-1; BVwG 22.01.2024, W252 2247042-1; BVwG 23.02.2024, W211 2262850-2; BVwG 19.03.2024, W287 2239852-1; BVwG 12.04.2024, W108 2255217-1; BVwG 09.09.2024, W176 2283061-1; BVwG 09.01.2025, W256 2244544-1; BVwG 10.02.2025, W176 2285593-1; BVwG 04.09.2025, W252 2312918-1; BVwG 23.10.2025, W101 2268654-1; DSB 14.10.2025, 2025-0.823.962; DSB 15.12.2025, 2025-0.395.497).
• Schreitet ein bevollmächtigter Vertreter für einen Auskunftswerber ein, ist in einem zweistufigen Prüfungsverfahren neben der Identität des Auskunftswerbers auch die Vollmacht zu prüfen. Auch wenn ein Rechtsanwalt für den Auskunftswerber einschreitet, ist von Verantwortlichen des privaten Bereichs der urkundliche Nachweis der Bevollmächtigung zu fordern. Mit der bloßen Berufung eines Rechtsanwalts auf eine Vollmacht gemäß § 8 Abs 1 RAO kann die Bevollmächtigung nur beim Einschreiten vor einer Behörde oder vor einem Gericht nachgewiesen werden (OLG Innsbruck 29.01.2024, 10R87/24f; OLG Wien 10.01.2025, 33R157/24m; OLG Wien 11.02.2025, 4R5/25x; OLG Wien 11.02.2025, 3R5/25i; OLG Wien 11.04.2025, 16R21/25p; OLG Linz 15.01.2025, 2R174/24g; OLG Linz 15.01.2025, 2R172/24p; OLG Linz 06.02.2025, 6R10/25w; OLG Linz 05.03.2025, 2R32/25a; OLG Graz 17.01.2025, 5R205/24t; OLG Graz 14.03.2025, 5R28/25i). AA: DSB 01.10.2025, 2025-0.765.344.
• Eine zunächst unvollständige Auskunft kann im Laufe des Verfahrens vor der DSB und auch noch vor dem BVwG vervollständigt werden (VwGH 06.03.2024, Ro 2021/04/0027; BVwG 05.12.2023, W211 2260885-1; BVwG 19.03.2024, W287 2249380-1; BVwG 12.04.2024, W108 2255217-1; BVwG 31.01.2025, W258 2247059-1; BVwG 06.05.2025, W256 2307865-1; BVwG 10.06.2025, W274 2307868-1; BVwG 30.06.2025, W211 2307833-1).
• Kein Recht auf Feststellung einer in der Vergangenheit liegenden Verletzung des Rechts auf Löschung (VwGH 10.12.2024, Ro 2021/04/0022; BVwG 22.01.2024, W101 2134867-1; BVwG 19.04.2024, W287 2276988-1; BVwG 20.06.2024, W211 2225136-1; BVwG 31.01.2025, W258 2247059-1; BVwG 03.02.2025, W292 2285575-1). Dasselbe gilt für das Recht auf Berichtigung (BVwG 23.04.2024, W605 2283487-1).
• Eine auf Löschung gerichtete Revision ist auch dann wegen nachträglichen Wegfalls des rechtlichen Interesses als gegenstandslos geworden zu erklären, wenn die Löschung erst nach Entscheidung durch das BVwG erfolgt (VwGH 24.07.2024, Ro 2023/04/0001; VwGH 24.07.2024, Ra 2023/04/0270; VwGH 30.09.2024, Ro 2022/04/0033).

3. Schadenersatz

• Der Ersatz eines immateriellen Schadens hängt von keiner Erheblichkeitsschwelle ab. Der bloße Verstoß gegen die Bestimmungen der DSGVO reicht jedoch nicht aus, um einen Schadenersatzanspruch zu begründen. Ein solcher Verstoß führt nicht automatisch zu einem Schaden. Der Betroffene hat den entstandenen Schaden nachzuweisen (EuGH 04.05.2023, C-300/21, Österreichische Post; EuGH 14.12.2023, C-340/21, Natsionalna agentsia; EuGH 14.12.2023, C-456/22, Gemeinde Ummendorf; EuGH 21.12.2023, C-667/21, Krankenversicherung Nordrhein; EuGH 25.01.2024, C-687/21, MediaMarktSaturn; EuGH 20.06.2024, C-182/22, Scalable Capital; EuGH 20.06.2024, C-590/22, PS (Adresse erronée); EuGH 04.09.2025, C-655/23, Quirin Privatbank; EuG 08.01.2025, T-354/22, Bindl/Kommission; OGH 03.07.2025, 6Ob113/24x).
• Die (objektiven) Voraussetzungen des immateriellen Schadenersatzes sind: (i) ein Verstoß gegen die DSGVO, (ii) der Eintritt eines Schadens und (iii) ein Kausalzusammenhang zwischen dem Verstoß und dem Schaden (EuGH 04.05.2023, C-300/21, Österreichische Post; EuGH 14.12.2023, C-340/21, Natsionalna agentsia; EuGH 14.12.2023, C-456/22, Gemeinde Ummendorf; EuGH 21.12.2023, C-667/21, Krankenversicherung Nordrhein; EuGH 25.01.2024, C-687/21, MediaMarktSaturn; EuGH 05.03.2024, C-755/21 P, Kočner/Europol; EuGH 11.04.2024, C-741/21, juris; EuGH 04.10.2024, C-507/23, Patērētāju tiesību aizsardzības centrs).
• Das Haftungsregime des Art 82 DSGVO setzt Verschulden voraus, das vermutet wird (Beweislastumkehr). Der Grad des Verschuldens ist bei der Bemessung der Höhe der Entschädigung nicht zu berücksichtigen (EuGH 21.12.2023, C-667/21, Krankenversicherung Nordrhein; EuGH 25.01.2024, C-687/21, MediaMarktSaturn; EuGH 20.06.2024, C-182/22, Scalable Capital; EuGH 04.09.2025, C-655/23, Quirin Privatbank).
• Der Schadenersatz nach Art 82 Abs 1 DSGVO hat keine Straf- oder Abschreckungsfunktion, sondern ausschließlich eine Ausgleichsfunktion (EuGH 04.05.2023, C-300/21, Österreichische Post; EuGH 21.12.2023, C-667/21, Krankenversicherung Nordrhein; EuGH 25.01.2024, C-687/21, MediaMarktSaturn; EuGH 11.04.2024, C-741/21, juris; EuGH 20.06.2024, C-182/22, Scalable Capital; EuGH 20.06.2024, C-590/22, PS (Adresse erronée); EuGH 04.10.2024, C-507/23, Patērētāju tiesību aizsardzības centrs; OGH 03.07.2025, 6Ob113/24x).
• Die Schwere des Verstoßes gegen eine Bestimmung der DSGVO wirkt sich auf die Höhe des zu gewährenden Schadenersatzes nicht aus (EuGH 04.10.2024, C-507/23, Patērētāju tiesību aizsardzības centrs; EuGH 04.09.2025, C-655/23, Quirin Privatbank).
• Die Haltung und Beweggründe des Verantwortlichen sind bei der Bemessung nicht zu berücksichtigen (EuGH 04.10.2024, C-507/23, Patērētāju tiesību aizsardzības centrs; EuGH 04.09.2025, C-655/23, Quirin Privatbank).

4. Verwaltungsstrafrecht

• Das Verschulden ist unionsautonom auszulegen und liegt stets vor, wenn der Beschuldigte über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte (dies gilt für natürliche und juristische Personen). Auf ein mangelndes Organisationsverschulden kommt es nicht an (BVwG 25.10.2024, W108 2285546-1; BVwG 17.10.2024, W176 2284816-1; BVwG 26.02.2025, W101 2284403-1; BVwG 20.06.2025, W291 2300813-1; uva).
• Einzelne Senate des BVwG prüfen hingegen das Organisationsverschulden (BVwG 26.03.2024, W137 2241630-1; BVwG 27.12.2024, W258 2227269-1; BVwG 25.07.2025, W258 2299744-1).
• Die Regelungen des § 5 VStG (Verschulden) gelangen aufgrund des Anwendungsvorrangs des Unionsrechts nicht zur Anwendung (BVwG 27.03.2024, W214 2243436-1; BVwG 03.06.2024, W292 2282284-1; BVwG 15.07.2024, W298 2284627-1; uva).

5. Verfahrensrecht

• Die zuständige Behörde für Beschwerden wegen Verstößen gegen das Datenschutzrecht ist die DSB (BVwG 12.12.2023, W122 2270105-1; LVwG NÖ 01.12.2023, LVwG-M-55/001-2022; LVwG NÖ 23.09.2025, LVwG-M-32/001-2025; LVwG Burgenland 08.01.2024, E 263/07/2023.001/018; LVwG Wien 23.02.2024, VGW-101/032/11502/2023).
• Unterlässt die DSB ein ordnungsgemäßes Ermittlungsverfahren, setzt sie völlig ungeeignete Ermittlungsschritte oder ermittelt sie bloß ansatzweise, darf das BVwG die Angelegenheit zum Erlass eines neuen Bescheids an die DSB zurückverweisen (VwGH 21.12.2023, Ra 2023/04/0254; VwGH 19.04.2024, Ra 2022/04/0006; VwGH 06.06.2024, Ra 2023/04/0280; BVwG 15.11.2023, W292 2259252-1; BVwG 25.09.2024, W108 2284790-1).
• In einem Verfahren zur Feststellung der federführenden Aufsichtsbehörde wird keine Vorfrage iSd § 38 AVG verbindlich beantwortet; für einen Aussetzungsbescheid besteht daher keine Rechtsgrundlage (VwGH 14.11.2023, Ro 2020/04/0009; VwGH 06.09.2024, Ro 2023/04/0006; BVwG 13.12.2023, W287 2256142-1).
• Eine Datenschutzbeschwerde, die nach Ablauf der subjektiven Präklusivfrist von einem Jahr eingebracht wird, ist wegen Präklusion zurückzuweisen (BVwG 15.12.2023, W108 2273800-1; BVwG 05.04.2024, W211 2274025-1; BVwG 20.09.2024, W214 2291552-1).
• Wird eine zulässige und begründete Säumnisbeschwerde erhoben, darf das BVwG aufgrund seiner „kondemnatorischen“ Entscheidungsbefugnis die DSB zum Erlass eines Bescheids verpflichten („dritte Chance“) (BVwG 13.02.2024, W256 2280818-1; BVwG 13.06.2024, W292 2281684-1; BVwG 18.11.2024, W137 2297602-1).
• Weist die DSB eine Datenschutzbeschwerde zurück, spricht das BVwG nur über die Rechtmäßigkeit der Zurückweisung ab (BVwG 22.01.2024, W101 2277417-1; BVwG 30.04.2024, W252 2272830-1; BVwG 18.06.2024, W214 2222613-2).
• Die Zurückziehung der Datenschutzbeschwerde während des beim BVwG anhängigen Verfahrens führt zur (rückwirkenden) Unzuständigkeit der DSB; ihr Bescheid wird dadurch (nachträglich) rechtswidrig und ist vom BVwG zu beheben (BVwG 16.01.2024, W211 2280187-1; BVwG 19.03.2024, W252 2271599-1; BVwG 05.09.2025, W256 2294340-1).

6. Strafgerichte

• Gelangt der Inhalt einer verschlüsselten Kommunikation im Rechtshilfeweg in das Ermittlungsverfahren der Staatsanwaltschaft, unterliegen die von ausländischen Behörden übermittelten Kommunikationsdaten keinem Beweisverwertungsverbot (OGH 17.07.2024, 11Os55/24h; OGH 05.11.2024, 14Os14/24a; OGH 05.11.2024, 14Os100/24y; OGH 18.02.2025, 14Os11/25m; OGH 16.12.2025, 11Os43/25w). Beachte jedoch OGH 05.11.2024, 14Os107/24b.