Mandantenkommunikation über die E-Mail-Adresse eines Dritten

Rechtsanwälte sind, wenn sie Daten für den Zweck der Vertretung ihrer Mandanten verarbeiten, regelmäßig als selbständige Verantwortliche tätig. Datenschutzwidrige Weisungen bilden keinen Rechtfertigungsgrund zur Erfüllung eines Bevollmächtigungsvertrags mit einem Rechtsanwalt. Die Befolgung einer solchen Weisung kann Rechtsanwälte nicht von ihrer datenschutzrechtlichen Verantwortlichenstellung entbinden.

BVwG 24. 2. 2026, W274 2331886-1 (zwei VwGH-Revisionen anhängig)

Die belangte Behörde [Datenschutzbehörde] verneinte den Beschwerdepunkt einer Geheimhaltungspflichtverletzung seitens der MB [mitbeteiligten Rechtsanwältin] bereits deshalb, weil sie die MB aufgrund ausdrücklicher Weisung ihrer Mandantin, über welches E-Mail-Postfach die Anwaltskorrespondenz zu führen sei, in diesem Umfang nicht als Verantwortliche ansah.
Aufgrund – soweit überblickbar – einhelliger Rechtsprechung sind Rechtsanwälte, wenn sie Daten für den Zweck der Vertretung ihrer Mandanten verarbeiten, regelmäßig als selbständige Verantwortliche tätig. Dieser Grundsatz steht auch rechtlich in diesem Verfahren nicht in Diskussion.
Der BF verweist allerdings zutreffend auf die Bestimmung des § 9 RAO, dem zufolge Rechtsanwälte Vertretungen dem Gesetz gemäß zu führen haben. Daraus folgt logisch, dass Klientenaufträge nur insoweit zu befolgen sind, als sie dem Gesetz nicht widerstreiten.
Die Datenschutzbehörde beschäftigte sich mit dieser Frage, inwieweit die Bindung des Rechtsanwalts an das Gesetz der Weisungsautonomie des Mandanten Grenzen setzt, nicht.
Es ist zwar nach den Sachverhaltsfeststellungen richtig, dass die MB nicht aus eigenem, sondern über Weisung ihrer Mandantin die Anwaltskorrespondenz über ein von dieser mitgeteiltes E-Mail-Postfach, lautend auf eine dritte Person, abwickelte. Die MB beschränkt sich auch in ihrer Stellungnahme zur Beschwerde darauf, dass sie diese Weisung offenbar ohne weitere Erörterung im Hinblick auf die – wenn auch nachvollziehbare – Befürchtung ihrer Mandantin, dass der BF Zugriff auf ihr E-Mail-Postfach habe, befolgt habe.
Wie dargestellt, unterliegt der Rechtsanwalt bei der Ausübung seines Mandates zwar der anwaltlichen Treuepflicht im Hinblick auf die Interessen seiner Partei. Diese findet aber ihre Grenze bei Weisungen, deren Befolgung Gesetzen widerstreitet. Auch die Datenschutzvorschriften sind Teil der gesetzlichen Bindung des Rechtsanwalts.
Entgegen den Ausführungen der MB liegt in der Übermittlung von Anwaltskorrespondenz an ein E-Mail-Postfach (eines Dritten) eine „Übermittlung“ gemäß Art 4 Z 2 DSGVO im Sinne einer Unterform der „Offenlegung“. Es handelt sich dabei um eine Mitteilung an einen individuell bestimmten Adressaten, in diesem Fall auf elektronischem Weg. Hierbei entsteht jedenfalls für den Dritten (den Onkel der Mandantin der MB) die Möglichkeit, sich Kenntnis vom Inhalt zu verschaffen. Für die Frage, ob eine Offenlegung in diesem Sinne stattgefunden hat, ist dabei nicht erforderlich, dass sich der Dritte tatsächlich Kenntnis von den Inhalten verschafft hat. Die Ausführung der MB, dass mit dem Onkel „weder Kommunikation stattgefunden“ habe, noch diesem „die Einsicht und Abschrift ermöglicht“ worden sei, ist in diesem Zusammenhang nicht nachvollziehbar.
Wenn die MB weiters meint, es habe lediglich eine Übermittlung, nicht jedoch eine Offenlegung [...] nachgewiesen werden können, so liegt darin datenschutzrechtlich insoferne kein relevanter Unterschied, als beide Tatbestandsmerkmale „Verarbeitungen“ darstellen.
Eine „Verarbeitung“ im Sinne des Art 4 Z 2 DSGVO bedarf jedenfalls eines Rechtfertigungsgrundes nach Art 6 DSGVO. Die MB hat sich zwar diesbezüglich pauschal auf Art 6 Abs 1 lit b DSGVO (Erfüllung eines Vertrags – Mandatsverhältnis) sowie Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse an einer sicheren, vertraulichen Mandatskommunikation) berufen, hierfür aber keine näheren Argumente eingebracht, zumal sie davon ausging, dass gar keine „Offenlegung“ stattgefunden habe.
Soweit sich die MB hier auf eine „vertrauliche Mandatskommunikation“ (gemeint mit ihrer Mandantin) beruft, war die gewählte Kommunikationsart gleichzeitig mit der Gefährdung datenschutzrechtlicher Positionen des BF verbunden, weil – wie festgestellt – Unterlagen mit diesen betreffenden personenbezogenen Daten an einen im Scheidungsverfahren nicht beteiligten Dritten übermittelt wurden. Die Rechtsgrundlage des Art 6 Abs 1 lit b DSGVO (Erfüllung eines Vertrags) kann in dieser Allgemeinheit die gewählte Kommunikationsart nicht rechtfertigen, weil das Mandantenverhältnis – neuerlich auf das Weisungsverhältnis zurückzukommend – einen Rechtsanwalt nicht dazu verpflichtet oder berechtigt, im Ergebnis gesetzwidrige Weisungen zu befolgen. Insofern bilden datenschutzwidrige Weisungen daher keinen datenschutzrechtlichen Rechtfertigungsgrund zur Erfüllung eines Bevollmächtigungsvertrags mit einem Rechtsanwalt.
Betreffend die Generalklausel des Art 6 Abs 1 lit f DSGVO hat die MB gar keine expliziten Gründe genannt, weshalb ihre Interessen bzw jene ihrer Mandantin jene des BF überwiegen.
Wie festgestellt, wurden umfangreiche Daten des BF, die dessen höchstpersönliche Sphäre betreffen (insbesondere E-Mail-Korrespondenz, Unterlagen betreffend Einkommens- und Vermögenssituation, Immobilienbewertung) an einen unbeteiligten Dritten offengelegt. Es handelt sich dabei offenbar auch um Daten, die die Mandantin der MB erst im Zuge des Scheidungsverfahrens erlangt hat. Es besteht zwar zweifellos ein berechtigtes Interesse der (Ex-)Ehefrau des BF, auf vertrauenswürdige Art und Weise die aus dem Mandantenverhältnis entspringende Korrespondenz mit der MB übermittelt zu erhalten. Es stehen aber jedenfalls abseits der bisherigen Nutzung ihrer – als gefährdet erachteten – E-Mail-Adresse weitere Möglichkeiten zur Verfügung, wie die Anlegung einer neuen E-Mail-Adresse, eine Passwortänderung, die Möglichkeit über einen Downloadbereich oder letztlich auch eine postalische Übermittlung. Unter diesen Möglichkeiten finden sich nach Ansicht des Gerichts durchaus auch für die Mandantin der MB zumutbare Möglichkeiten.
Eigene Interessen der MB, die Übermittlung wie festgestellt vorzunehmen, sind nicht naheliegend, zumal für die MB nur der Umstand wesentlich sein kann, eine taugliche Kommunikation mit ihrer Mandantin zu führen und die oben dargestellten Varianten zumindest abstrakt zur Verfügung standen.
Es sind daher keine Umstände hervorgekommen, die eine Interessenabwägung diesbezüglich zugunsten der MB oder ihrer Mandantin erscheinen lassen.
Da keine Rechtfertigungsgründe für die MB hervorkamen, dass die Korrespondenz mit ihrer Mandantin in Bezug auf personenbezogene Daten des BF an ein E-Mail-Postfach eines Dritten zulässig wäre, war die diesbezügliche Weisung der Mandantin der MB gegenüber nicht gesetzeskonform.
Die Befolgung einer solchen Weisung kann nach Ansicht des Verwaltungsgerichts die MB aber nicht von ihrer datenschutzrechtlichen Verantwortlichenstellung entbinden, weil sie aus ihren dargestellten anwaltlichen Verpflichtungen heraus verpflichtet gewesen wäre, auf eine gesetzeskonforme Kommunikationsweise der MB gegenüber hinzuwirken und – im hier unwahrscheinlichen Fall der Nichtfindung einer gesetzeskonformen Variante – auch allenfalls das Mandat niederzulegen.
Zwar besteht für einen Rechtsanwalt wohl keine Erkundigungs- oder Erforschungsobliegenheit, ob Kommunikationsadressen datenschutzrechtlich unbedenklich sind. Bei Offenkundigkeit eines solchen Umstands ist ihm im Sinne seiner Bindung an die Gesetze aber eine Klärung und ein Hinwirken auf eine datenschutzrechtlich taugliche Kommunikation abzuverlangen. Aufgrund des Auseinanderfallens des Namens mit jenem der Mandantin bezüglich der hier angegebenen E-Mail-Adresse im Zusammenhalt mit dem ausdrücklichen Hinweis, es handle sich um jene des Onkels, ist eine solche Offenkundigkeit wohl gegeben.
Selbst für den Auftragsverarbeiter wird, wenn er der Ansicht ist, eine gesetzwidrige Weisung erhalten zu haben, vertreten, dass er angehalten ist, den Verantwortlichen unverzüglich auf den möglichen Rechtsverstoß aufmerksam zu machen ( Hödl in Knyrim, DatKomm Art 4 DSGVO [Stand 01. 12. 2018] rdb.at, Rz 100). Ausgehend vom Grundsatz, dass der Rechtsanwalt selbst Verantwortlicher ist, führt aber im konkreten Fall eine Weisung, deren Befolgung offensichtlich einen Verstoß gegen Datenschutzbestimmungen darstellt, zu dessen Verpflichtung, auf eine datenschutzkonforme Vorgangsweise hinzuwirken und gegebenenfalls das Mandat zu beenden. Insoferne entscheidet der Rechtsanwalt auch in solchen Weisungskonstellationen zumindest über die Zwecke (das „ob“) und Mittel (das „wie“) der beabsichtigten Datenverarbeitung mit.
Wie dargestellt, waren die datenschutzrechtliche Verantwortlichkeit einerseits und ein Verstoß gegen die Geheimhaltungspflicht andererseits nicht getrennt voneinander zu prüfen, weil gegenständlich bereits die Beurteilung der (Mit-)Verantwortlichenstellung der MB eine Klärung voraussetzt, ob die Weisung in Konflikt mit Datenschutzbestimmungen steht.
Im Ergebnis war die MB daher auch im Bezug auf Wahl der Mandantenkommunikation mit der (Ex-)Ehefrau des BF als datenschutzrechtliche Verantwortliche zu qualifizieren. Als solche ist es ihr nicht gelungen, sich betreffend die gewählte Kommunikationsart zutreffend auf Rechtfertigungsgründe zu stützen.

Im Zuge der Vertretung in einem Scheidungsverfahren wurde die mitbeteiligte Rechtsanwältin von ihrer Mandantin ausdrücklich dazu aufgefordert, die Korrespondenz über die E-Mail-Adresse ihres Onkels zu führen, weil sie befürchtete, dass ihr (Ex-)Gatte Zugriff auf ihr persönliches E-Mail-Postfach gehabt habe. Die Rechtsanwältin kam dieser Aufforderung nach, was der Gegner herausfand und zum Anlass für eine Beschwerde an die Datenschutzbehörde wegen behaupteter Verletzung des Rechts auf Geheimhaltung nahm. Die Datenschutzbehörde wies die Beschwerde ab, weil die Mandantin die Entscheidung über den Kommunikationsweg getroffen habe und die Rechtsanwältin daher nicht als Verantwortliche iSd Art 4 Z 7 DSGVO zu qualifizieren sei. Das BVwG bejahte hingegen eine Verletzung des Rechts auf Geheimhaltung mit der Begründung, dass die Weisung der Mandantin datenschutzwidrig gewesen sei und daher von der Rechtsanwältin nicht hätte befolgt werden dürfen. Allerdings wurde die Revision gem Art 133 Abs 4 B-VG für zulässig erklärt, weil – so das BVwG – „bislang höchstgerichtliche Rechtsprechung zur Frage der Verantwortlicheneigenschaft eines Rechtsanwalts im Falle einer Mandantenweisung, die im Ergebnis datenschutzwidrige Vorgangsweisen des Rechtsanwalts zur Konsequenz hätte, nicht ersichtlich ist“. Dem Vernehmen nach bekämpfen sowohl die Datenschutzbehörde als auch die mitbeteiligte Rechtsanwältin das Erkenntnis des BVwG mit Revision an den VwGH.

Die Rechtsauffassung des BVwG hat ihre Schwächen. Zuvörderst liegt der Einwand auf der Hand, dass der Begriff des „Verantwortlichen“ iSd Art 4 Z 7 DSGVO nicht von den berufsrechtlichen Anforderungen des § 9 Abs 1 RAO abhängt. Selbst wenn die Weisung der Mandantin rechtswidrig gewesen sein sollte und von der Rechtsanwältin im Hinblick auf § 9 Abs 1 RAO nicht hätte befolgt werden dürfen (was das BVwG bejaht, aber sowohl datenschutzrechtlich als auch berufsrechtlich weitaus differenzierter zu betrachten wäre und letztlich höchst zweifelhaft ist), so würde dies nichts daran ändern, dass die Rechtsanwältin in der gegebenen Konstellation dennoch nicht „Verantwortliche“ iSd Art 4 Z 7 DSGVO ist. Folglich steht gerade die zentrale entscheidungstragende Prämisse des BVwG auf tönernen Beinen, wonach die Befolgung einer solchen Weisung die Rechtsanwältin „nicht von ihrer datenschutzrechtlichen Verantwortlichenstellung [sic!] entbinden“ könne, „weil sie aus ihren dargestellten anwaltlichen Verpflichtungen heraus verpflichtet gewesen wäre, auf eine gesetzeskonforme Kommunikationsweise [...] hinzuwirken und [...] auch allenfalls das Mandat niederzulegen“. Die Entscheidung des VwGH im Revisionsverfahren wird mit Interesse zu verfolgen sein.