Entscheidung:
GerichtVerfassungsgerichtshofEntscheidungsdatum30.11.2005GeschäftszahlB1158/03 - B200/04,B764/04,B574/04,B1325/04,B198/05,B654/05Sammlungsnummer17716 - 17747,17748,18300LeitsatzVerletzung im Gleichheitsrecht durch Abweisung eines Löschungs- und Auskunftsbegehrens hinsichtlich bei einem Gendarmerieposten in einer Kartei geführter personenbezogener Daten; Verkennung der Rechtslage im entscheidungswesentlichen Punkt der Frage der inneren Organisation der Behörde; Bezirkshauptmannschaft und nicht Landesgendarmeriekommando als Auftraggeberin der Datenanwendung im Sinne des Datenschutzgesetzes anzusehen und daher zutreffender Adressat des Löschungs- und AuskunftsbegehrensRechtssatzMit dem DSG 2000 wurde die Datenschutz-Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.95 umgesetzt. Entsprechend dieser Richtlinie wurden in der Verfassungsbestimmung des §1 Abs3 DSG 2000 die Rechte auf Auskunft, Richtigstellung und Löschung auch hinsichtlich personenbezogener Daten eingeräumt, die zur Verarbeitung in manuell, dh. ohne Automationsunterstützung geführten Dateien bestimmt sind. Entsprechend diesen Vorgaben enthält der Auftraggeberbegriff der Z4 des §4 DSG 2000 keine Beschränkung auf automationsunterstützte Datenverarbeitung (wie sie der Auftraggeberbegriff des §3 Z3 DSG 1978 enthalten hat).Es liegt damit nahe und ist bei einer vom Wortlaut (arg. "sinngemäß" in der Übergangsbestimmung des §61 Abs7 DSG 2000) ausgehenden teleologischen Interpretation zutreffend, §10 Abs2 letzter Satz SicherheitspolizeiG so zu verstehen, dass die Gendarmeriekommanden nicht nur für automationsunterstützt verarbeitete Daten sondern auch hinsichtlich von manuellen Dateien, die für Zwecke der inneren Organisation angelegt werden, als Auftraggeber anzusehen sind.Generelle Regelungen zur Ordnung des Aktenbestandes und damit auch solche über das Anlegen von Karteien nach bestimmten Ordnungskriterien zur Auffindung von Akten sind - wie andere Regelungen über den Geschäftsgang innerhalb einer Behörde auch - dem Bereich der inneren Organisation zuzuordnen. Wird jedoch ein konkreter Name mit entsprechenden weiteren Angaben in das Protokoll(buch) oder in die Indexkartei aufgenommen, so kann keinesfalls mehr von einer Angelegenheit des inneren Dienstes gesprochen werden. Hier hat der Gesetzgeber subjektive Rechtspositionen der Betroffenen geschaffen. Damit erweist sich aber die Bezirkshauptmannschaft Mödling als zutreffender Adressat der Löschungs- und Auskunftsbegehren des Beschwerdeführers.Die Behörde hat in der Frage der Abgrenzung des Bereichs der inneren Organisation - also in einem wesentlichen Punkt - die Rechtslage grundlegend verkannt. Sie hat die in diesem Zusammenhang entscheidenden datenschutzrechtlichen Ansprüche von außerhalb der Organisation stehenden Personen nicht entsprechend berücksichtigt und in ihre Erledigung die kriminalpolizeilichen Aspekte der Datenverarbeitung nicht aufgenommen.Siehe auch B200/04 (Löschungsbegehren nach Anzeige gem §209 StGB) und B764/04 (hier: Verdacht nach §127 StGB), beide E v 26.01.06, Aufhebung der Bescheide, sowie B574/04 und B1325/04, beide vom selben Tag, Abweisung der Beschwerden unter Hinweis auf die vorliegende Entscheidung (Löschungsbegehren an unzuständiges Landesgendarmeriekommando gerichtet).She weiters B198/05, E v 13.10.07: Verweis auf die vorliegende Entscheidung VfSlg 17716/2005 sowie auf VfSlg 17747 und 17748/2006 hins der Abweisung des Löschungsbegehrens von Daten in Indexkartei und Protokollbuch; Aufhebung des gesamten Spruchpunktes 2. wegen Untrennbarkeit; hins Papier- und Kopienakt Verweis auf VfSlg 17745/2005 und E v 07.03.07, B1708/06; weiters E v 05.12.07, B654/05 unter Verweis auf die angeführten Entscheidungen; hier jedoch teilweise Abweisung der Beschwerde unter Hinweis auf B1708/06.

Relevante Rechtsvorschrift:
Verstöße  gegen  Bestimmungen  der  DSGVO  und  des  § 1  oder  Artikel 2  1. Hauptstück  durch  Personen
begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und
eine Führungsposition innerhalb der juristischen Person aufgrund
1. der Befugnis zur Vertretung der juristischen Person,
2. der Befugnis, Entscheidungen im Namen der juristischen Person zu treffen, oder
3. einer Kontrollbefugnis innerhalb der juristischen Person
innehaben.
(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder
Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle
durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige
Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden
strafbaren Handlung bildet.
(3) Die  Datenschutzbehörde  hat  von  der  Bestrafung  eines  Verantwortlichen  gemäß  § 9  des
Verwaltungsstrafgesetzes 1991 – VStG, BGBl. Nr. 52/1991 , abzusehen, wenn für denselben Verstoß bereits
eine Verwaltungsstrafe gegen die juristische Person verhängt wird.