DSGVOMG

Rundum bewertet, nirgends abgesegnet: 360-Grad-Feedback ohne Betriebsvereinbarung

Eine Führungskraft, 17 Personen, die sie bewerten, 27 Kategorien und ein Online-Tool, das alles fein säuberlich sammelt. Das Unternehmen nennt es Feedbackkultur. Ob die Datenschutzbehörde das auch so sieht, klären wir in dieser Folge. 😉

Birgit hat den Fall ausgesucht, weil sie die in diesem Fall erhobenen Daten eigentlich gar nicht für personenbezogen hielt, und wurde von der Behörde eines Besseren belehrt. Murphy hört zum ersten Mal vom Arbeitsverfassungsgesetz und liefert als Praktiker trotzdem die Fakten zu den bestehenden Betriebsvereinbarungen. Team Arbeitgeber sind diesmal beide nicht. 😄 Und zwei Wörter haben es direkt aus dem Bescheid in die Aufnahme geschafft: „sinnbefreit” und „lebensfremd”.

Was erwartet Sie in dieser Folge?

💡 Ob eine einzelne Bewertung wie „berät sich bei wichtigen Entscheidungen mit anderen” überhaupt etwas mit personenbezogenen Daten zu tun hat

💡 Was ein Feedbackbogen mit Disziplinarordnung und leistungsbezogenem Entgelt gemeinsam hat

💡 Ob „berechtigtes Interesse” wirklich der Joker ist, für den ihn viele halten

💡 Ob der Arbeitsvertrag als Rechtsgrundlage herhalten kann

💡 Wann eine Führungskraft als leitender Angestellter gilt und warum das hier eine Rolle spielt

Zum Hintergrund des Falls

Eine große österreichische Aktiengesellschaft mit 2.600 Beschäftigten lässt ihre Führungskräfte in einem 360-Grad-Feedback bewerten. Auch ein Teamleiter im Finanzbereich wird von 17 Personen bewertet, das Ergebnis sehen er und seine Vorgesetzte. Der Teamleiter beschwert sich im August 2025 bei der Datenschutzbehörde: Seine Bewertungsdaten seien erhoben und seiner Vorgesetzten zugänglich gemacht worden, ohne dass es nach seiner Ansicht die dafür nötige Betriebsvereinbarung gebe. Betriebsrat und Betriebsvereinbarungen gibt es im Unternehmen durchaus, die Frage ist nur, was genau darin geregelt ist. 🤔 Eine der 27 Bewertungskategorien lautete übrigens „lenkt die Aktivitäten des Teams auf Bereiche mit hoher Priorität und vermeidet Ablenkungen”. Birgit erzählt in der Folge, dass sie ihre Mitarbeitenden gerne mit Schwänken aus ihrem abwechslungsreichen Leben ablenkt, denn der Humor darf nicht zu kurz kommen. 😁 Ob das überhaupt jemand bewerten darf, ist eine andere Frage. 😉

Für wen ist diese Folge spannend?

🎯 Für Unternehmen, die ein 360-Grad-Feedback oder ein ähnliches Bewertungsverfahren einführen wollen oder schon eingeführt haben

🎯 Für HR-Abteilungen, Führungskräfte und Betriebsräte, die an ihrer Feedbackkultur arbeiten

🎯 Für alle, die glauben, eine Betriebsvereinbarung zum HR-System decke dann schon alles andere mit ab

🎯 Für alle, die denken: „Feedback ist doch etwas Gutes, was soll da schon sein?” 😉

Unser Fazit

Wer Mitarbeitende systematisch bewerten lässt, bewegt sich nicht nur im Datenschutz, sondern auch mitten im Arbeitsrecht, und da redet der Betriebsrat ein gewichtiges Wörtchen mit. Eine Betriebsvereinbarung gilt außerdem nur für das, was tatsächlich drinsteht. Was am Ende mit den bereits erhobenen Daten passiert, wissen übrigens nicht einmal wir. 🤷‍♀️

🎙️ Jetzt reinhören in Folge 46 von

DSGVOMG – Mein Datenschutztheater

Der Podcast von MeineBerater 🎙️⚖️

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Eine Kanzlei wird gehackt, meldet das zunächst brav bei der Behörde und behauptet danach aber jahrelang hartnäckig: eigentlich sei ja gar nichts passiert. Nur SPAM, mehr nicht. Wer sich selbst meldet, hat doch eigentlich alles richtig gemacht, oder? Spoiler: Nicht ganz. 😉 Und dann folgt eine Zahlenreise, bei der der Taschenrechner der Behörde ordentlich was zu tun bekommt, von einem Bußgeldrahmen in Millionenhöhe zu einem Betrag, den man locker aus der Portokasse zahlen könnte.

Wie das zusammenpasst? Genau das lösen wir in dieser Folge auf.

Was erwartet Sie in dieser Folge?

💡 Warum es der Behörde am Ende egal war, ob wirklich Daten gestohlen wurden, ihre eigentliche Frage war nämlich eine ganz andere

💡 Wieso „das macht doch mein Hosting-Anbieter" die schlechteste Ausrede ist, die man wählen kann

💡 Warum ein selbst erstellter „Verhaltenskodex" der eigenen Branche rechtlich gar nicht als solcher zählt

💡 Weshalb Selbstmelden bei der Behörde übrigens keinerlei Pluspunkte bringt

💡 Und warum „keine Beweise dafür, dass etwas passiert ist" auch kein Beweis dafür ist, dass nichts passiert ist

Zum Hintergrund des Falls

Ein unbefugter Dritter verschafft sich Zugang zum E-Mail-Postfach eines Mitarbeiters einer kleinen polnischen Kanzlei für Buchhaltung und Steuerberatung. Betroffen sind nicht nur die eigenen Klienten, sondern auch deren Mitarbeitende und sogar deren Kinder, praktisch der gesamte Datenschatz eines Buchhaltungsbüros. Fast fünf Jahre vergehen zwischen dem Vorfall und der Entscheidung, kein Sprint also, sondern ein echter Ausdauerlauf, bei dem sich Kanzlei und Behörde jahrelang gegenseitig Schreiben zuschickten, fast schon eine Brieffreundschaft. 😄 Und erstmals führt uns diese Folge dafür nach Polen, zur dortigen Datenschutzbehörde UODO.

Für wen ist diese Folge spannend?

🎯 Für kleine und mittlere Unternehmen, die ihre IT-Sicherheit komplett an einen externen Dienstleister ausgelagert haben

🎯 Für alle, die glauben, eine Meldepflicht erfüllt zu haben reiche bereits als gute Tat

🎯 Für Kanzleien und Beratungsbetriebe, die mit heiklen Kundendaten arbeiten

🎯 Für alle, die denken: „Uns hat's ja noch nie erwischt, wird schon passen" 😉

Unser Fazit

Datenschutz beginnt nicht erst, wenn etwas passiert, sondern lange vorher, mit einer ehrlichen Bestandsaufnahme der eigenen Risiken. Wer diese Hausaufgabe macht und sie auch wiederholt, steht am Ende deutlich besser da, selbst wenn doch einmal etwas schiefgeht. Ob eine derart geschrumpfte Bußgeldsumme am Ende wirklich das richtige Signal an andere Kanzleien sendet, darüber lässt sich trefflich streiten. 🤷‍♀️

🎙️ Jetzt reinhören in Folge 45 von

DSGVOMG – Mein Datenschutztheater

Der Podcast von MeineBerater 🎙️⚖️

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Acht Jahre tadellos im Amt, kurz vor der Rente, und dann das: Eigene private E-Mail-Adresse ins CC, das ändert alles!

Willkommen zu einer Folge, die beweist, dass man sich manchmal selbst am gründlichsten ins Bein schießt, indem man sich selbst eine E-Mail schickt. Oder wie in diesem Fall gleich neun. In der Numerologie soll die Neun ja für Vollendung und den Abschluss eines Zyklus stehen, in diesem Fall war das wohl weniger spirituell gemeint. 😬

Was erwartet Sie in dieser Folge?

💡 Warum das Weiterleiten einer E-Mail an die eigene private Freemail-Adresse rechtlich alles andere als banal ist

💡 Wieso „ich habe doch nichts verraten" hier keine Rettung war, obwohl es sogar stimmte

💡 Warum ein offenes CC am Ende mehr gegen ihn sprach als für ihn

💡 Warum eine angebliche Absprache mit dem Ex-Chef die Sache nicht besser, sondern schlimmer machte

💡 Und wieso ausgerechnet die eigene Absicherungs-Strategie zum stärksten Argument gegen ihn wurde

Zum Hintergrund des Falls

Ein langjähriger Vorstand einer deutschen Aktiengesellschaft leitet über zwei Monate hinweg insgesamt neun E-Mails an seine private Gmail-Adresse weiter, ganz offen, im CC, für alle sichtbar. Mit dabei: Gehaltsabrechnungen, Provisionsdaten von Kolleginnen und Kollegen, heikle Compliance-Anfragen und mehr. Als das auffliegt, steht plötzlich seine gesamte Karriere auf dem Spiel, und ganz nebenbei wird auch noch juristisch gestritten, ab wann genau der Aufsichtsrat eigentlich „wusste, was er wusste". Diesmal sind wir zur Abwechslung mal zu Gast bei einem deutschen Oberlandesgericht, nicht bei der österreichischen Datenschutzbehörde.

Kleiner Insider für unsere Stammhörer: Wir gehen in dieser Folge übrigens etwas großzügiger mit den Wörtern „sensibel" und „hochsensibel" um, als wir das sonst tun. Keine Sorge, wir haben nicht plötzlich unsere juristische Sorgfalt verloren, wir erlauben uns nur ein bisschen sprachliche Freiheit. 😉

Für wen ist diese Folge spannend?

🎯 Für Führungskräfte, die sich selbst schon einmal berufliche Unterlagen „zur Sicherheit" weitergeleitet haben

🎯 Für Aufsichtsräte und Vorstände, die wissen wollen, wo genau Selbstschutz zum Rechtsbruch wird

🎯 Für alle, die glauben, offene Transparenz schütze automatisch vor Konsequenzen

🎯 Für jeden, der denkt: „Ist doch nur an mich selbst, was soll da schon sein?" 😉

Unser Fazit

Was man sich selbst schickt, bleibt trotzdem eine Datenverarbeitung. Ausdrucken statt Speichern? Auch keine Lösung, da sind wir mit dem Gericht ganz einer Meinung. Alle anderen tun das auch? Pech gehabt, es gibt keine Gleichheit im Unrecht. Und gute Absichten ersetzen keine Rechtsgrundlage, egal wie oft man sich das selbst einredet.

🎙️ Jetzt reinhören in Folge 44 von

DSGVOMG – Mein Datenschutztheater

Der Podcast von MeineBerater 🎙️⚖️

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Die Ehefrau, der Zettel und das Amt

Ein handgeschriebener Zettel mit einer E-Mail-Adresse. Mehr braucht es manchmal nicht, um ein längeres Verfahren vor der Datenschutzbehörde auszulösen: 1. Instanz, dann 2. Instanz, Rückverweisung durch das Bundesverwaltungsgericht wieder in die erste Instanz und schließlich eine mündliche Verhandlung samt Zeugeneinvernahme.

Fragen Sie sich jetzt, ob das vielleicht alles ein bisserl überbordend ist? Die Antwort… Aber freilich! 😉

Birgit darf ein klein wenig zynisch der Frage nachgehen, ob wir wirklich keine anderen Sorgen in diesem Land haben.

Murphy erfreut sich an neuen Begriffen und gemeinsam hatten sie sehr viel Spaß im Studio – das hört man ganz deutlich.

Was erwartet Sie in dieser Folge?

💡 Warum eine Kontaktadresse, die eigentlich der Ehefrau des Praxisinhabers gehört, plötzlich zum Streitpunkt wird.

💡 Ob eine Arbeitsinspektion einfach unangemeldet in eine Arztpraxis kommen darf, und was sie dort verlangen darf.

💡 Warum eine neutrale Zeugin der Behörde glaubwürdiger erscheint als die eigene (nicht unabhängige) Mitarbeiterin.

💡 Wer in so einem Verfahren eigentlich der richtige Gegner ist, die einzelne Beamtin oder die Behörde dahinter.

💡 Warum die Verwendung einer eigentlich fremden E-Mail-Adresse trotzdem nicht zu einem Datenschutzverstoß führt.

Zum Hintergrund des Falls

Eine Arbeitsinspektorin erscheint unangemeldet in einer oberösterreichischen Zahnarztpraxis, um eine reguläre Kontrolle durchzuführen. Der Praxisinhaber selbst verweigert jegliche Kommunikation, der Austausch läuft über seine Mitarbeiterinnen. Als Unterlagen fehlen, wird eine Kontaktadresse für die spätere Zustellung notiert, handschriftlich, auf einem Zettel und der Arbeitsinspektorin übergeben. Was danach passiert, beschäftigt – unglaublich, aber wahr – am Ende sogar zwei Instanzen.

Für wen ist diese Folge spannend?

🎯 Für (Klein-)Betriebe, in denen private und geschäftliche Kontaktdaten schnell einmal vermischt werden.

🎯 Für alle Unternehmen, die wir von der Arbeitsinspektion oder anderen Behörden geprüft werden dürfen.

🎯 Für alle, die sich fragen, wie viel Verantwortung das Handeln einzelner Mitarbeitender für das ganze Unternehmen hat.

🎯 Für alle, die denken: „Wird schon nicht so wichtig sein, wer mit Amtsvertretern spricht" 😉

Unser Fazit

Eine (unternehmensfremde) E-Mail-Adresse, die im Namen des Unternehmens von einer Mitarbeiterin weitergegeben wird, darf von einer Behörde verwendet werden – so lange sie in Vollziehung ihrer Aufgaben tätig ist. Und, wenig überraschend: Alles, was unsere Mitarbeitenden im Unternehmen machen, ist uns Arbeitgebern zuzurechnen 😉.

🎙️ Jetzt reinhören in Folge 43 von

DSGVOMG – Mein Datenschutztheater

Der Podcast von MeineBerater 🎙️⚖️

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Ein Pseudonym, ein Forumseintrag, eine WhatsApp-Nachricht mit einem breiten Grinsen-Emoji. Und am Ende eine Entscheidung, die zeigt, wie schnell aus einem anonymen Beitrag ein ganz persönlicher Fall werden kann.

Was erwartet Sie in dieser Folge?

💡 Warum ein Pseudonym manchmal deutlich weniger schützt, als man denkt, vor allem gegenüber Menschen, die man kennt

💡 Was Gesundheitsdaten datenschutzrechtlich so besonders macht, und wo dieser besondere Schutz plötzlich endet

💡 Ob es eine Rolle spielt, in welchem Tonfall sensible Informationen weitergegeben werden

💡 Warum "datenschutzrechtlich in Ordnung" nicht automatisch "moralisch unproblematisch" bedeutet

Zum Hintergrund des Falls

Eine Frau schreibt unter einem Pseudonym in einem Online-Forum über ihre ADHS-Diagnose. Ein Bekannter erkennt sie sofort, er kennt sie ja persönlich, und leitet den Link mit ihrem echten Namen an eine gemeinsame Bekannte weiter. Sie sieht darin eine klare Verletzung ihrer Privatsphäre. Die österreichische Datenschutzbehörde musste entscheiden, wer hier eigentlich im Recht ist.

Für wen ist diese Folge spannend?

🎯 Für alle, die einem Pseudonym im Internet blind vertrauen

🎯 Wer beruflich oder privat mit sensiblen Gesundheitsinformationen zu tun hat, sollte diesen Fall kennen

🎯 Datenschutzinteressierte, die genauer wissen wollen, was "öffentlich gemacht" rechtlich eigentlich bedeutet

🎯 Und alle, die denken: „Ist doch nur unter Freunden weitergeleitet worden, was soll da schon sein?" 😉

Unser Fazit

Wo die Grenze zwischen einem Pseudonym und echter Anonymität verläuft, und wo die eigene Kontrolle über einmal Preisgegebenes endet, das entscheidet am Ende oft eine einzige Frage.

🎙️ Jetzt reinhören in Folge 42 von

DSGVOMG – Mein Datenschutztheater

Der Podcast von MeineBerater 🎙️⚖️

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Ein Notizblock in der Schublade fühlt sich an wie ein rechtsfreier Raum. Was handschriftlich notiert ist, muss man doch niemandem offenlegen, oder? Ein österreichischer Therapieverein ging genau davon aus. In dieser Folge stellen wir diese Annahme auf die Probe.

Was erwartet Sie in dieser Folge?

💡 Ob ein Kugelschreiber die DSGVO austrickst oder ob Papier am Ende genauso zählt wie jede Datenbank

💡 Woraus eine vollständige Auskunft nach Art. 15 DSGVO wirklich besteht und an welcher Hälfte die meisten scheitern

💡 Wie eine E-Mail voller guter Wünsche zur Rechtsverletzung wird

💡 Warum Schweigen gegenüber der Behörde das Gegenteil von Deckung ist

Zum Hintergrund des Falls

Ein ehemaliger Klient eines Therapievereins möchte wissen, was über ihn gespeichert ist. Alles, wie es Art. 15 der DSGVO vorsieht. Die Antwort kommt freundlich, knapp und mit besten Wünschen für die Gesundheit. Nur: Ist freundlich auch vollständig? Und was ist eigentlich mit den handschriftlichen Notizen des Therapeuten? Und dann meldet sich die Behörde. Zweimal. Und bekommt: nichts. Was folgt, ist eine Lektion darüber, wie man aus einer kleinen Anfrage einen Bescheid mit Vier-Wochen-Frist macht.

Für wen ist diese Folge spannend?

🎯 Für alle, die Auskunftsanfragen beantworten und dabei nichts übersehen wollen

🎯 Für Praxen, Vereine und alle, deren Wissen auch auf Papier und in Karteien steckt

🎯 Für jeden, der überzeugt ist: „Was handschriftlich ist, geht niemanden etwas an" 😉

🎯 Für alle, die einmal in Ruhe verstehen wollen, wozu die ganzen Zusatzangaben in einer Auskunft eigentlich da sind

Unser Fazit

Handschrift ist kein Schlupfloch. Eine halbe Auskunft ist keine. Und wer der Behörde nicht antwortet, beantwortet die Frage trotzdem, nur zu seinen Ungunsten.

🎙️ Jetzt reinhören in Folge 41 von

DSGVOMG – Mein Datenschutztheater

Der Podcast von MeineBerater 🎙️⚖️

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Verbotene Hotelkommunikation? Zustimmung zur Datenverwendung ist keine Einwilligung

Ein Klick auf „Akzeptieren" beim ersten Login in die interne Mitarbeiter-App, und plötzlich war für die gesamte Belegschaft sichtbar, was eigentlich privat bleiben sollte. Genau darüber musste sich kürzlich die österreichische Datenschutzbehörde Gedanken machen.

Was erwartet Sie in dieser Folge?

💡 Warum ein angeklicktes „Gelesen und akzeptiert" noch lange keine wirksame Einwilligung ist

💡 Wann sich Unternehmen auf ein „berechtigtes Interesse" berufen können und wann nicht

💡 Warum ein guter betrieblicher Grund allein nicht reicht, wenn der Zeitpunkt nicht stimmt

💡 Wieso ein einziges Wort in der eigenen Datenschutzinformation über den ganzen Fall entscheiden kann

Zum Hintergrund des Falls

Ein ehemaliger Mitarbeiter eines Wellnesshotels stellte fest, dass seine private Telefonnummer und private E-Mail-Adresse monatelang für alle Kolleginnen und Kollegen einsehbar waren, über eine Plattform, die er für seinen Job zwingend nutzen musste. Das Hotel verteidigte sich mit nachvollziehbaren Argumenten: durchgehender Betrieb, schnelle Erreichbarkeit im Notfall, eine geschlossene Nutzergruppe. Trotzdem gab die Behörde dem Beschwerdeführer recht.

Für wen ist diese Folge spannend?

🎯 Für Unternehmen, die interne Mitarbeiterplattformen oder -Apps einsetzen

🎯 Für alle, die wissen wollen, was eine wirksame Einwilligung tatsächlich ausmacht

🎯 Für Datenschutzinteressierte, die aktuelle Entscheidungen der Datenschutzbehörde verstehen möchten

🎯 Für alle, die denken: „Wir haben doch alles dokumentiert, das passt schon" 😉

Unser Fazit

Ein Häkchen bei „Datenschutzbestimmungen akzeptiert" ersetzt noch keine wirksame Einwilligung in eine konkrete Datenverarbeitung, und ein gutes Argument, zu spät vorgebracht, bleibt wirkungslos.

🎙️ Jetzt reinhören in Folge 40 von

DSGVOMG – Mein Datenschutztheater

Der Podcast von MeineBerater 🎙️⚖️

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Kokain, Klinik und ein kurzer Dienstweg? Was wie der Titel eines Krimis klingt, ist tatsächlich eine Entscheidung der österreichischen Datenschutzbehörde. Es geht um Gesundheitsdaten, eine Klinik, einen Polizeibeamten und eine Anfrage, die so nie hätte gestellt werden dürfen.

Andreas erfuhr auf eine ziemlich unangenehme Art, was mit seinen sensiblen Daten passiert war. Wie genau, das erzählen wir in dieser Folge.

Was erwartet Sie in dieser Folge?

💡 Warum Gesundheitsdaten unter der DSGVO besonderen Schutz genießen und was das für Krankenhäuser konkret bedeutet

💡 Wann eine Datenanfrage einer Behörde zulässig ist und was dafür zwingend vorliegen muss

💡 Ob eine gute Absicht vor datenschutzrechtlicher Verantwortung schützt

💡 Warum interne Zugriffskontrollen allein nicht ausreichen

💡 Und was eine einzige Formulierung in einer E-Mail über den ganzen Fall aussagt 😉

Zum Hintergrund des Falls

Andreas war zweimal als Notfallpatient in einer großen österreichischen Universitätsklinik. Vertrauliche Behandlung seiner Daten vorausgesetzt, so wie es das Gesetz verlangt und wie es jeder Patient erwarten darf.

Was er nicht wusste: Irgendwo zwischen Krankenakte und Polizeidirektion gab es einen kurzen Draht. Eine E-Mail. Und eine Anfrage, bei der sogar der Absender wusste, dass sie eigentlich anders hätte laufen müssen.

Dass seine Daten diesen Weg genommen hatten, erfuhr Andreas nicht von der Klinik, sondern zufällig, bei einem Gerichtstermin. Die Klinik handelte danach rasch und zog Konsequenzen. Ob das datenschutzrechtlich ausreicht, ist die eigentliche Frage dieser Folge.

Für wen ist diese Folge spannend?

🎯 Für alle, die im Gesundheits- oder Sozialbereich mit sensiblen Daten arbeiten

🎯 Für Unternehmen, die Anfragen von Behörden erhalten und wissen wollen, wie sie damit umgehen dürfen

🎯 Für Datenschutzinteressierte, die verstehen wollen, wo die Grenzen zwischen Kooperation und Rechtsbruch verlaufen

🎯 Für alle, die denken: „Wenn's gut gemeint ist, wird's schon passen" 😉

Unser Fazit

Oder wie Murphy sagt:

Jetzt reinhören in Folge 39 von

DSGVOMG – Mein Datenschutztheater

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Willkommen zurück – Anrede optional 😊

Diese Folge startet mit einer simplen Frage, die sich in Österreich zu einem handfesten Datenschutzfall ausgewachsen hat: „Was passiert, wenn ein Online-Shop beim Registrieren "Herr oder Frau?" fragt und die Antwort für manche schlicht lautet: "weder noch, danke"?

Spoiler: Der Shop hätte das besser lassen sollen. Nicht weil es moralisch fragwürdig ist (das ist eine andere Debatte), sondern weil die österreichische Datenschutzbehörde hier ganz nüchtern durchgerechnet hat, ob das Unternehmen dafür überhaupt eine Rechtsgrundlage hatte. Und die Antwort war… Sie ahnen es: NEIN. 😅

Die große Ironie des Falls? Das Unternehmen hat sich im laufenden Verfahren selbst überführt. 👀 Aber dazu gleich mehr.

Was Sie in dieser Folge erwartet

💡Warum eine Pflichtanrede kein harmloses Komfortmerkmal, sondern ein echtes Datenschutzproblem sein kann

💡Was der EuGH im Jänner 2025 in der Rechtssache „Mousse" entschieden hat und warum das für jeden Online-Shop relevant ist

💡Warum „wir brauchen das für die Vertragserfüllung" bei einer Anrede einfach nicht zieht

💡Wann berechtigte Interessen anerkannt werden und wo sie trotzdem scheitern

💡Wie man als Unternehmen mitten im Verfahren beweist, dass man die Daten eigentlich gar nicht gebraucht hätte

💡Was Art. 25 DSGVO (Privacy by Design) kann und was er ausdrücklich nicht kann

💡Und wieso „das macht man halt so" leider kein Rechtfertigungsgrund ist 😉

Der Fall: Zwei Optionen, ein Problem

Viktor wollte sich im Online-Shop einer großen österreichischen Handelskette registrieren. Das Feld „Anrede" war Pflicht. Zur Auswahl: „Herr" oder „Frau". Keine dritte Option, kein „Keine Angabe", kein Weiterklicken ohne Auswahl. Viktor wählte eine Anrede, die nicht seiner Geschlechtsidentität entsprach, weil es keine Alternative gab. Anschließend forderte er das Unternehmen auf, dies zu korrigieren.

Das Unternehmen antwortete sinngemäß: technisch gerade leider nicht möglich, man arbeite dran. Das war im September 2023. Im Mai 2025 bekam Viktor noch immer Newsletter mit der Anrede „Sehr geehrte Frau". Er wandte sich an die Datenschutzbehörde.

Was die Datenschutzbehörde geprüft hat

Das Unternehmen berief sich zunächst auf die Vertragserfüllung. Der EuGH hatte jedoch bereits klargestellt: Für Bestellung, Lieferung und Zahlung braucht niemand eine Anrede.

Auch das berechtigte Interesse rettete die Verarbeitung nicht. Mitten im laufenden Verfahren stellte das Unternehmen sein Registrierungssystem auf eine geschlechtsneutrale Lösung um und beantragte die Abweisung der Beschwerde. Damit zeigte es selbst, dass die verpflichtende Erhebung der Anrede für seine Zwecke gar nicht erforderlich war.

Das Ergebnis

Die Datenschutzbehörde stellte einen Verstoß gegen die DSGVO-Grundsätze der Zweckbindung und Datenminimierung fest. Der Antrag auf Verletzung von Art. 25 DSGVO (Privacy by Design) wurde abgewiesen: Betroffene Personen haben kein subjektives Recht darauf, wie ein Unternehmen seine Technik gestaltet. Die Verpflichtung liegt beim Unternehmen, nicht das Wahlrecht bei der betroffenen Person.

DSGVO-Lifehacks für alle, die Formulare bauen

🔑 Auch scheinbar harmlose Pflichtfelder brauchen einen echten Zweck

🔑 Gesellschaftliche Konventionen ersetzen keine Rechtsgrundlage.

🔑 Wer im Verfahren beweist, dass er auf bestimmte Daten verzichten kann, dokumentiert damit unter Umständen die eigene Rechtsverletzung.

🔑 Eine spätere Systemumstellung heilt keine vergangene Rechtsverletzung.

🔑Art. 25 DSGVO verpflichtet Unternehmen zur datenschutzfreundlichen Technikgestaltung, schützt sie aber vor Klagen auf eine bestimmte technische Umsetzung

🔑 Betroffene können das Unterlassen einer geschlechtsspezifischen Anrede einfordern, aber kein Recht auf eine bestimmte technische Umsetzung durchsetzen

Fazit

Dieser Fall lehrt zweierlei:

Nicht die Anrede an sich war das Problem, sondern die Verpflichtung dazu ohne Alternative. Gescheitert ist das Unternehmen letztlich an der Erforderlichkeit der Datenverarbeitung. Wer behauptet, etwas sei technisch nicht möglich, und es später doch umsetzt, liefert der Behörde oft das stärkste Argument gleich selbst.

Datenschutz macht keinen Unterschied zwischen spektakulären Datenpannen und winzigen Pflichtfeldern. Auch das Kleinste zählt. 😉

Jetzt reinhören in Folge 38 von

DSGVOMG – Mein Datenschutztheater

Der Podcast von MeineBerater 🎙️⚖️

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).

Drohnenfotos im Immobilieninserat: Wenn das Nachbarhaus unfreiwillig mitverkauft wird

Willkommen zurück im Datenschutztheater, Murphy und Birgit freuen sich, dass Sie wieder da sind.

Diesmal fliegen wir datenschutzrechtlich ein bisschen höher, nämlich mit einer Drohne über ein Grundstück, das verkauft werden soll. Klingt nach moderner Immobilienvermarktung.

Schöne Perspektive, gute Übersicht, Lage erkennbar, Garten sichtbar, Nachbarschaft im Bild.

So weit, so praktisch.

Das Problem: Auf den Aufnahmen war nicht nur die zu verkaufende Liegenschaft zu sehen, sondern auch das Haus einer Nachbarin. Und diese Nachbarin war damit eher weniger einverstanden.

Denn auch wenn sie selbst nicht auf dem Foto abgebildet war, stellte sich die Frage:

Kann schon das erkennbare Haus einer Person ein personenbezogenes Datum sein?

Spoiler aus dem Datenschutztheater:

Ja. Vor allem dann, wenn man mit ein bisschen Kombinationsfreude herausfinden kann, wem das Haus gehört.

Was Sie in dieser Folge erwartet

✅ Warum nicht nur Menschen, sondern auch Häuser datenschutzrechtlich spannend werden können

✅ Wieso Drohnenaufnahmen in Immobilieninseraten nicht automatisch harmlos sind

✅ Wann eine Immobilie zum personenbezogenen Datum wird

✅ Warum die Kombination aus Foto, Ortsangabe, Kartendienst und Grundbuch problematisch sein kann

✅ Weshalb die Behörde nicht den Drohnenflug selbst, sondern die Veröffentlichung geprüft hat

✅ Warum Verpixelung manchmal nicht nur hübsch, sondern rechtlich entscheidend ist

✅ Und weshalb bei Immobilienfotos auch Nachbargrundstücke nicht einfach dekoratives Beiwerk sind

⚖️ Der Fall: Ein Inserat, eine Drohne und ein unfreiwilliges Nachbarhaus

Eine Immobilienfirma fertigte zu Werbezwecken Drohnenaufnahmen einer Liegenschaft an. Diese Aufnahmen wurden in einem Immobilieninserat auf einem Online-Marktplatz veröffentlicht.

Auf den Bildern war auch das Haus einer Nachbarin gut erkennbar.

Was die Datenschutzbehörde geprüft hat

Entscheidend war nicht, ob die Drohne überhaupt fliegen durfte.

Entscheidend war die Veröffentlichung der Aufnahmen im Immobilieninserat.

Die Behörde prüfte daher, ob durch die unverpixelte Veröffentlichung des Hauses eine Verletzung des Rechts auf Geheimhaltung nach § 1 DSG vorlag. Und dabei wurde es interessant.

Die Beschwerdeführerin selbst war auf dem Bild zwar nicht zu sehen. Ihr Haus aber schon. Dazu kam die Ortsangabe „Bezirk Donaustadt“. Über eine Anfrage zur inserierten Liegenschaft konnte deren Adresse erlangt werden. Über diese Adresse konnten angrenzende Grundstücke zugeordnet werden. Mithilfe von Google Maps oder Google Earth konnte wiederum das Haus der Beschwerdeführerin lokalisiert werden. Und über das Grundbuch konnte letztlich auch die Eigentümerin ermittelt werden. Das klingt nach ein bisschen Detektivarbeit.

Datenschutzrechtlich heißt das aber:

Identifizierbarkeit.

Die Kernaussage der Behörde

Personenbezogene Daten müssen nicht immer mit einem großen Namensschild daherkommen.

Es reicht, wenn eine Person direkt oder indirekt identifizierbar ist. Und diese Identifizierbarkeit kann sich auch aus der Kombination mehrerer Informationen ergeben.

Hier also aus: Foto des Hauses, Ortsangabe, Adresse der inserierten Liegenschaft, Lage der Nachbargrundstücke, Kartendiensten und Grundbuch.

Das Haus war damit nicht einfach nur ein Haus.

Es war ein Hinweis auf eine konkrete natürliche Person.

Berechtigtes Interesse? Ja, aber …

Die Immobilienfirma hatte natürlich ein Interesse daran, die zu verkaufende Liegenschaft gut zu vermarkten.

Und dieses Interesse wurde von der Behörde grundsätzlich auch anerkannt.

Immobilien verkaufen sich nun einmal leichter, wenn man zeigt, was verkauft wird. Überraschung des Tages.

Aber: Auch ein berechtigtes Interesse macht nicht jede Veröffentlichung automatisch zulässig.

Die Behörde prüfte daher, ob die konkrete Verarbeitung erforderlich war.

Und genau dort scheiterte es.

Denn das Nachbarhaus wurde unverpixelt und gut erkennbar mitveröffentlicht. Die Umgebung hätte aber auch verpixelt dargestellt werden können. Interessierte hätten die Lage und das Umfeld trotzdem ausreichend einschätzen können.

Oder weniger juristisch gesagt:

Man hätte das Haus der Nachbarin nicht in HD mitliefern müssen.

Das Ergebnis

Die Datenschutzbehörde gab der Beschwerde statt.

Sie stellte eine Verletzung des Rechts auf Geheimhaltung fest.

Ausschlaggebend war nicht, dass überhaupt Drohnenaufnahmen gemacht wurden. Ausschlaggebend war, dass das Haus der Beschwerdeführerin unverpixelt und gut erkennbar veröffentlicht wurde, obwohl ein milderes Mittel möglich gewesen wäre.

Nämlich:

Verpixeln.

Ein kleines technisches Mittel mit großer datenschutzrechtlicher Wirkung.

DSGVO-Lifehacks für Immobilienfotos

✔ Bei Drohnenaufnahmen immer prüfen, was außer der eigenen Liegenschaft noch sichtbar ist

✔ Nachbarhäuser und Nachbargrundstücke sind datenschutzrechtlich nicht automatisch egal

✔ Personenbezug kann auch indirekt entstehen

✔ Öffentlich verfügbare Informationen können gemeinsam zur Identifizierbarkeit führen

✔ Google Maps, Google Earth und Grundbuch können aus einem Bild mehr machen als nur ein Bild

✔ Vor Veröffentlichung prüfen, ob Verpixelung möglich und zumutbar ist

✔ Das Umfeld darf gezeigt werden, aber nicht grenzenlos

✔ Immobilienmarketing braucht nicht nur schöne Bilder, sondern auch ein Datenschutzfilterchen

Fazit

Diese Entscheidung zeigt sehr schön, dass personenbezogene Daten manchmal besser versteckt sind, als man auf den ersten Blick glaubt.Es muss nicht immer ein Gesicht, ein Name oder eine Telefonnummer sein. Auch ein erkennbares Haus kann personenbezogen werden, wenn sich über weitere Informationen herausfinden lässt, wem es zuzuordnen ist.

Für Immobilienmaklerinnen, Immobilienmakler und alle, die Inserate gestalten, heißt das:

Die Drohne darf schöne Bilder machen.

Aber vor dem Upload sollte jemand mit Datenschutzbrille draufschauen.

Denn manchmal ist nicht der Flug das Problem, sondern das, was danach online landet.

Und Murphy bringt es auf den Punkt:

Personenbezogene Daten sind oft nicht sofort erkennbar. Manchmal entstehen sie erst aus der Kombination mehrerer scheinbar harmloser Informationen.

Jetzt reinhören in Folge 37 von

Mein Datenschutztheater

Der Podcast von MeineBerater 🎙️⚖️

Präsentiert von MeineBerater

Moderation: Birgit und Erich von Maurnböck

Produziert von DAS POD (https://daspod.at/).