Der Fall:
Ein ehemaliger Gemeindebeamter musste feststellen, dass auf der Internetseite seines früheren Arbeitgebers immer noch sein Lebenslauf veröffentlicht war, obwohl das Arbeitsverhältnis längst beendet worden war.
Der Mann erachtete die Publizierung gewisser persönlicher Angaben für unangemessen, wenn nicht gar gefährlich für ihn und seine Familie und forderte die Gemeindeverwaltung in Kampanien schriftlich auf, die Daten sofort zu entfernen. Der Versuch blieb erfolglos, weshalb der ehemalige Beamte eine Beschwerde bei der Garantiebehörde zum Schutz personenbezogener Daten in Rom einbrachte.
Wie die Behörde entschied:
Der Beschwerdeführer legte dar, dass im publizierten Lebenslauf nicht nur seine private Telefonnummer und E-Mail-Adresse aufschienen, sondern sogar seine Wohnadresse. Es sei möglich, dass unangenehme Zeitgenossen mit Entscheidungen, die er während seiner beruflichen Tätigkeit zu treffen hatte, nicht einverstanden waren und ihm jetzt Böses wollen. Deshalb sei gerade die Publikmachung seiner Privatanschrift geradezu fahrlässig.
Die Garantiebehörde hielt fest, dass die Veröffentlichung der beanstandeten Daten gar nie notwendig gewesen wäre. Darüber hinaus hat die Gemeindeverwaltung auf die schriftliche Beanstandung des ehemaligen Mitarbeiters nicht innerhalb der vorgeschriebenen Frist von 30 Tagen reagiert, sondern erst viel später, nachdem eine Aufforderung zur Stellungnahme seitens der Garantiebehörde zum Schutz personenbezogener Daten eingetroffen war.
Die verspätete schriftliche Reaktion ist auch in Bezug auf Inhalt und Form gerügt worden: weder hat die Gemeinde dem Mann mitgeteilt, warum sein Ansuchen auf Löschung der Daten nicht angenommen wurde, noch war in der Antwort eine Rechtsmittelbelehrung enthalten, also ein Hinweis darauf, wo und innerhalb welcher Frist die ablehnende Maßnahme der Gemeinde angefochten werden könnte.
In der Sache selbst wurde unterstrichen, dass die Offenlegung von Daten nur für einen Zeitraum bis zu 3 Jahre nach Beendigung des Dienstverhältnisses zulässig ist. Diese Zeitspanne war hier weit überschritten worden und die Veröffentlichung schon allein deshalb rechtswidrig. Zudem haben Daten wie die private Anschrift, Telefonnummer oder Mail-Adresse in einem derartigen Dokument nichts verloren, ebenso wie beispielsweise die Steuernummer einer physischen Person – nicht zuletzt aufgrund des Risikos eines Identitätsklaus.
Letztlich vergeblich hat die Gemeindeverwaltung versucht, sich damit zu rechtfertigen, dass die institutionelle Internetseite von einer Firma verwaltet worden ist, die nachlässig gehandelt habe. Inhaber der Daten und somit verantwortlich war aber trotzdem die Gemeinde und nicht der externe Dienstleister.
Mit Entscheidung Nr. 198 vom 26. Mai 2022 hat die Garantiebehörde die Handhabung der personenbezogenen Daten durch die Gemeinde somit als rechtswidrig eingestuft und diese zur Zahlung einer Verwaltungsstrafe im Ausmaß von 10.000 Euro verdonnert.