EuGH Datenschutz Personalakte Österreich: EuGH klärt DSGVO-Anwendbarkeit bei Ermittlungsdaten in Personalakten – was das Urteil C‑312/24 (Darashev) für Österreich bedeutet
Einleitung: Verdachtsvermerke in Personalakten – ab jetzt Hochrisikozone
EuGH Datenschutz Personalakte Österreich: Kürzlich entschied der Europäische Gerichtshof (EuGH) in einem Vorabentscheidungsverfahren: Sobald Ermittlungsinformationen über Bedienstete für Personal- oder Karrierezwecke genutzt werden, gilt die DSGVO – mit allen strengen Anforderungen. Auch wenn der Ausgangsfall aus Bulgarien stammt: Das Urteil betrifft unmittelbar österreichische Behörden und öffentliche Arbeitgeber. Denn EuGH-Entscheidungen sind für alle Gerichte und Behörden in der EU bindend, wenn die Rechtsfrage übereinstimmt.
Ein „Vorabentscheidungsersuchen“ ist der Mechanismus, mit dem nationale Gerichte dem EuGH Fragen zur Auslegung von EU-Recht vorlegen. Der EuGH beantwortet die Rechtsfrage verbindlich; das nationale Gericht entscheidet dann den Einzelfall. So sorgt der Gerichtshof für eine einheitliche Anwendung des Unionsrechts – und damit auch in Österreich.
Was ist passiert? Der Sachverhalt aus Bulgarien
Das Rayongericht Sofia (Sofiyski rayonen sad) legte dem EuGH den Fall eines Polizeibeamten vor. Gegen ihn wurde im Zuge strafrechtlicher Ermittlungen 24 Stunden festgehalten und seine Räumlichkeiten wurden durchsucht. Eine Anklage gab es nicht; das Ermittlungsverfahren wurde später ausgesetzt. Dennoch vermerkte das Innenministerium den Verdacht und die Ermittlungsmaßnahmen in seiner Personalakte.
Der Beamte machte geltend, diese Einträge hätten Beförderungen verhindert. Er verlangte Löschung der Daten sowie Schadenersatz. Das bulgarische Gericht fragte den EuGH, welche EU‑Regeln auf diese Konstellation anzuwenden sind.
Die EU‑rechtliche Frage: DSGVO oder Polizeirichtlinie – und was ist rechtmäßig?
Im Kern standen vier Punkte zur Klärung:
- Gilt die Datenschutz-Grundverordnung (DSGVO) oder die sogenannte Polizeirichtlinie (Richtlinie 2016/680) für die Speicherung von Verdachts- und Ermittlungsdaten in der Personalakte?
- Unter welchen Voraussetzungen ist eine solche Speicherung rechtmäßig – insbesondere nach Art. 6 Abs. 1 lit. c und Abs. 3 DSGVO (Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung)?
- Besteht ein Recht auf Löschung nach Art. 17 DSGVO, wenn kein Strafverfahren geführt oder dieses ausgesetzt wird?
- Ist die Verweigerung einer Beförderung wegen „Verdächtigenstatus“ eine Diskriminierung nach der Gleichbehandlungsrichtlinie 2000/78?
Wichtig zur Einordnung: Eine „Richtlinie“ ist ein EU‑Rechtsakt, der Mitgliedstaaten Ziele vorgibt, ihnen aber die Umsetzung in nationales Recht überlässt. Die DSGVO hingegen ist eine Verordnung und gilt unmittelbar in allen Mitgliedstaaten („unmittelbare Anwendbarkeit“), ohne dass es nationaler Umsetzung bedarf.
Das Urteil des EuGH: Klare Grenzziehung, strenge Anforderungen (EuGH Datenschutz Personalakte Österreich)
Der EuGH stellte Folgendes klar:
- DSGVO gilt bei Personalzwecken: Daten aus Ermittlungen fallen unter die Polizeirichtlinie, solange sie zu Zwecken der Strafverfolgung verarbeitet werden. Sobald dieselben Informationen jedoch für Personalverwaltung, Karriereentscheidungen oder ähnliche HR‑Zwecke verwendet werden, ist die DSGVO anwendbar – auch wenn die Daten ursprünglich von einer Ermittlungsbehörde erhoben wurden.
- Rechtsgrundlage muss präzise sein: Eine Speicherung kann sich auf Art. 6 Abs. 1 lit. c DSGVO stützen („rechtliche Verpflichtung“), aber nur, wenn es eine klare, präzise und vorhersehbare gesetzliche Grundlage im Unions- oder nationalen Recht gibt, die Zweck, Umfang, Kategorien und insbesondere Speicherfristen/Überprüfungszyklen regelt. Vage Praxis oder interne Gewohnheiten reichen nicht.
- Besondere Hürden für Straftatendaten (Art. 10 DSGVO): Informationen über Straftaten oder Verdachtsmomente unterliegen einem strengen Regime. Ihre Verarbeitung erfordert eine spezifische gesetzliche Grundlage mit geeigneten Garantien und/oder eine behördliche Aufsicht.
- Recht auf Löschung: Ist die Speicherung unrechtmäßig oder nicht mehr erforderlich, besteht ein Anspruch auf Löschung (Art. 17 Abs. 1 lit. a und d DSGVO). Ausnahmen wegen „rechtlicher Aufbewahrungspflichten“ (Art. 17 Abs. 3 lit. b DSGVO) sind eng auszulegen und müssen verhältnismäßig sein – inklusive klarer Speicherbegrenzung.
- Gleichbehandlungsrichtlinie 2000/78 nicht einschlägig: Eine Beförderungsverweigerung allein wegen „Verdächtigenstatus“ fällt nicht unter die dort genannten Diskriminierungsgründe (Religion, Weltanschauung, Behinderung, Alter, sexuelle Orientierung). Das heißt nicht, dass jede Verweigerung rechtmäßig ist – sie ist nur nicht nach dieser Richtlinie zu prüfen.
Konsequenzen für Österreich: Was ändert sich konkret?
Die Entscheidung bindet österreichische Gerichte, Behörden und öffentliche Arbeitgeber bei vergleichbaren Sachverhalten. Zentrale Punkte für Österreich:
- Einordnung der Verarbeitung: Nutzt eine österreichische Behörde Ermittlungsinformationen (z. B. aus einem SPG‑Einsatz oder einer Staatsanwaltschaftsanfrage) für Personal- oder Disziplinarentscheidungen, greift die DSGVO – nicht die Polizeirichtlinie.
- Rechtsgrundlage prüfen: Erforderlich ist eine klare, präzise, veröffentlichte gesetzliche Grundlage oder eine auf Gesetz gestützte Verordnung/Weisung, die ausdrücklich die Speicherung solcher Daten in der Personalverwaltung erlaubt und Zweck, Kategorien, Empfängerkreise, Speicherfristen und Prüfzyklen vorgibt. Fehlt das, ist die Speicherung sehr wahrscheinlich unzulässig.
- Speicherbegrenzung und Verhältnismäßigkeit: Kein „auf Vorrat“ in der Personalakte. Nur, was für den eng definierten Zweck erforderlich ist, und nur solange es notwendig ist. Regelmäßige dokumentierte Lösch- und Überprüfungsprozesse sind Pflicht.
- Art. 10 DSGVO beachten: Verdachtsdaten sind Hochrisikodaten. Es braucht besondere Garantien (z. B. rollenbasierte Zugriffe, Protokollierung, Datenschutz-Folgenabschätzung, Einbindung des/der Datenschutzbeauftragten).
- Betroffene Rechtsmaterien: Neben der unmittelbar geltenden DSGVO sind insbesondere das österreichische Datenschutzgesetz (DSG), die dienstrechtlichen Vorschriften (BDG 1979, VBG), disziplinarrechtliche Regelungen sowie einschlägige Materiengesetze (z. B. Sicherheitspolizeigesetz – SPG) betroffen. Untergesetzliche Regelungen genügen nur, wenn sie auf gesetzlicher Ermächtigung beruhen, hinreichend bestimmt und veröffentlicht sind.
- Bindungswirkung: Österreichische Gerichte und die Datenschutzbehörde (DSB) müssen die Grundsätze dieses Urteils anwenden. Das gilt auch dann, wenn der konkrete Ausgangsfall aus einem anderen Mitgliedstaat stammt.
Praxisfolgen: Vier Situationen aus dem österreichischen Alltag
- Wiener Polizeibediensteter: Ein Ermittlungsverfahren wurde mangels Verdachts eingestellt. In der Personalakte bleibt ein Vermerk über Durchsuchungen bestehen. Ohne klare gesetzliche Grundlage und festgelegte Löschfrist ist dieser Eintrag zu löschen.
- Justizwache: Interne Ermittlungsnotizen werden standardmäßig im Personalakt geführt. Fehlt eine präzise Rechtsnorm mit Zweckbindung und Speicherfristen, ist diese Praxis an die DSGVO anzupassen oder einzustellen.
- Gemeindeamt: Eine Mitarbeiterin wird kurzzeitig als Zeugin in einem Betrugsfall einvernommen. Ein „Vorsichts“-Vermerk landet in der Personalakte. Für HR‑Zwecke ist das regelmäßig unverhältnismäßig und zu entfernen.
- Privates Sicherheitsunternehmen: Der Arbeitgeber sammelt „Hinweise“ auf mögliche Diebstähle von Beschäftigten in einer Schattenakte. Ohne gesetzliche Grundlage verstößt das regelmäßig gegen Art. 10 DSGVO – mit hohem Haftungs- und Bußgeldrisiko.
Handeln Sie jetzt: Checkliste für Behörden, Arbeitgeber und Betroffene
Für öffentliche Arbeitgeber und Sicherheitsbehörden
- Verarbeitungsverzeichnis prüfen: Gibt es HR‑Prozesse, in denen Ermittlungs- oder Verdachtsdaten genutzt werden?
- Rechtsgrundlage bewerten: Existiert eine klare, präzise, veröffentlichte Norm mit definiertem Zweck, Kategorien, Empfängern, Speicherfristen und Prüfzyklen?
- Verhältnismäßigkeit sichern: Zweckbindung eng fassen; nur erforderliche Daten; strenge Zugriffsrechte; regelmäßige Löschläufe und Dokumentation.
- Art. 10 DSGVO umsetzen: Zusätzliche Schutzmaßnahmen, behördliche Aufsicht, Datenschutz-Folgenabschätzung, Schulungen; Einbindung des/der Datenschutzbeauftragten.
- Transparenz schaffen: Informationspflichten (Art. 13/14 DSGVO) aktualisieren; Betroffenenrechte ermöglichen.
Für betroffene Bedienstete
- Auskunft nach Art. 15 DSGVO verlangen: Welche Verdachts-/Ermittlungsdaten sind in meiner Personalakte? Zu welchem Zweck? Wie lange?
- Löschung nach Art. 17 DSGVO beantragen, wenn keine tragfähige Rechtsgrundlage besteht oder der Zweck entfallen ist.
- Bei Ablehnung: Beschwerde an die Datenschutzbehörde; gegebenenfalls gerichtliche Durchsetzung und Schadenersatzanspruch (Art. 82 DSGVO) prüfen.
- Personalentscheidungen anfechten: Wenn unzulässige Daten berücksichtigt wurden, bestehen dienst- und datenschutzrechtliche Angriffsflächen.
Für private Arbeitgeber
- Keine „Verdachtsarchive“ führen: Straftatbezogene Hinweise zu Beschäftigten nur in gesetzlich klar geregelten Ausnahmefällen verarbeiten.
- Rechtsanspruchs-Ausnahme eng verstehen: Speicherung nur, wenn sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen wirklich erforderlich ist – und dann zweckgebunden und befristet.
- Alternativen nutzen: Wo zulässig, offizielle Strafregisterbescheinigungen; keine Eigenrecherchen ohne Rechtsgrundlage.
FAQ: Die häufigsten Fragen aus österreichischer Sicht
Darf meine Dienststelle Verdachtsvermerke einfach in der Personalakte behalten?
Nur, wenn es eine klare und veröffentlichte gesetzliche Grundlage gibt, der Zweck eng definiert ist und Speicherfristen/Prüfzyklen bestehen. Ohne das ist die Speicherung in der Regel unzulässig und zu löschen.
Gilt das Urteil auch für Österreich, obwohl der Fall aus Bulgarien kam?
Ja. EuGH‑Urteile in Vorabentscheidungsverfahren sind für alle Mitgliedstaaten bindend, wenn die Rechtsfrage vergleichbar ist. Österreichische Gerichte und die DSB müssen die Vorgaben anwenden.
Ich war nur Verdächtige/r, das Verfahren wurde eingestellt – kann ich Löschung verlangen?
Ja, wenn die Speicherung unrechtmäßig ist oder nicht mehr erforderlich. Art. 17 DSGVO gewährt ein Löschrecht; Ausnahmen sind eng auszulegen und müssen verhältnismäßig sein.
Bekomme ich Schadenersatz, wenn mir wegen solcher Einträge eine Beförderung entgangen ist?
Möglich. Art. 82 DSGVO sieht Schadenersatz für materielle und immaterielle Schäden vor, wenn gegen die DSGVO verstoßen wurde. Ob ein Anspruch besteht, hängt vom Einzelfall ab (u. a. Kausalität, Umfang des Schadens).
Heißt das, Beförderungsverweigerungen wegen Verdacht sind automatisch okay?
Nein. Der EuGH sagt nur, dass die Gleichbehandlungsrichtlinie 2000/78 hierfür nicht der passende Prüfmaßstab ist. Maßgeblich bleiben insbesondere DSGVO‑Vorgaben, Dienst- und Disziplinarrecht sowie Grundsätze wie die Unschuldsvermutung und Verhältnismäßigkeit.
Ausblick: Die Entscheidung hat das Potenzial, Personalakten europaweit zu verändern
Das Urteil C‑312/24 zieht eine deutliche Linie: Ermittlungsdaten sind kein Selbstbedienungsladen für die Personalverwaltung. Österreichische Behörden und öffentliche Arbeitgeber sollten kurzfristig ihre Personalaktenpraxis auf DSGVO‑Konformität prüfen, klare Rechtsgrundlagen identifizieren oder schaffen und Lösch- sowie Überprüfungsroutinen verlässlich implementieren. Für Betroffene eröffnet sich zugleich ein handfestes Instrumentarium aus Auskunft, Löschung, Beschwerde und Schadenersatz. (ECLI:EU:C:2026:449) Zum Originalurteil des EuGH.
Rechtsanwalt Wien: Individuelle Beratung – rasch und zielgerichtet handeln
Durch jahrelange anwaltliche Praxis im Datenschutz- und Verwaltungsrecht begleiten wir Mandantinnen und Mandanten bei der Umsetzung und Durchsetzung von EU‑rechtlichen Vorgaben. Wenn Sie klären wollen, ob Einträge in Ihrer Personalakte zulässig sind, welche Löschpflichten bestehen oder wie Ihre Organisation DSGVO‑konforme Prozesse aufsetzt, unterstützen wir Sie pragmatisch und rechtssicher – insbesondere zu EuGH Datenschutz Personalakte Österreich.
Kontaktieren Sie die Pichler Rechtsanwalt GmbH, Schwarzenbergstraße 1–3, 1010 Wien, Telefon: 01/5130700, E‑Mail: wien@anwaltskanzlei-pichler.at.
Als erfahrener Rechtsanwalt berät die Kanzlei Pichler Behörden, öffentliche Dienststellen und Beschäftigte in ganz Österreich bei EU‑rechtlichen Fragen mit unmittelbarer Wirkung auf den österreichischen Arbeitsalltag.
Rechtliche Hilfe in Österreich?
Auch wenn ein EuGH-Urteil aus einem anderen Mitgliedstaat stammt – die Auswirkungen koennen auch in Oesterreich erheblich sein. Die Rechtsanwaltskanzlei Pichler in 1010 Wien beraet Sie zur konkreten Bedeutung fuer Ihren Fall: Beratungstermin vereinbaren.