RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum27.02.2023 GeschäftszahlW108 2249843-1 Spruch, W108 2249843-1/8E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht erkennt durch die Ri

Art. 130Abs. 1 Z 3 B-VG (Säumnisbeschwerde) der XXXX , vertreten durch THURNHER WITTWER PFEFFERKORN & Partner Rechtsanwälte Gmb

H, wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde betreffend die Datenschutzbeschwerde vom 30.10.2020 gegen die XXXX vertreten durch Rechtsanwalt Dr. Florian KNAIPP, wegen Verletzung des Rechtes auf Geheimhaltung zu Recht:Das Bundesverwaltungsgericht erkennt durch die Richterin Mag. Gertrude BRAUCHART als Vorsitzende sowie die fachkundigen Laienrichter Dr. Ulrich E. ZELLENBERG und Gerhard RAUB als Beisitzer über die Beschwerde

Artikel 130

, Absatz eins, Ziffer 3, B-VG (Säumnisbeschwerde) der römisch 40 , vertreten durch THURNHER WITTWER PFEFFERKORN & Partner Rechtsanwälte GmbH, wegen Verletzung der Entscheidungspflicht durch die Datenschutzbehörde betreffend die Datenschutzbeschwerde vom 30.10.2020 gegen die römisch 40 vertreten durch Rechtsanwalt Dr. Florian KNAIPP, wegen Verletzung des Rechtes auf Geheimhaltung zu Recht: A) I. Der Säumnisbeschwerde wird

§ 8Vw

GVG Folge gegeben.römisch eins. Der Säumnisbeschwerde wird

Paragraph 8, VwGVG Folge gegeben. II. Der belangten Behörde wird

§ 28Abs. 7 Vw

GVG aufgetragen, den versäumten Bescheid binnen acht Wochen unter Zugrundelegung folgender Rechtsanschauung zu erlassen:römisch zwei. Der belangten Behörde wird

Paragraph 28, Absatz 7, VwGVG aufgetragen, den versäumten Bescheid binnen acht Wochen unter Zugrundelegung folgender Rechtsanschauung zu erlassen: Im Falle einer Übermittlung personenbezogener Daten der Beschwerdeführerin an den Drittstaat Vereinigte Staaten von Amerika, auf welche der 50 U.S. Code § 1881a („FISA 702”) anwendbar ist, sofern diese Bestimmung im Hinblick auf die übermittelten personenbezogenen Daten in der Praxis auch Anwendung findet und/oder allenfalls eine Weitergabe von Daten

Executive Order 12.333 erfolgt und keine zusätzliche Maßnahmen iSd Art. 46 DSGVO ergriffen worden sind, um ein angemessenes Schutzniveau zu gewährleisten, liegt eine Übermittlung ohne geeignete Garantien in ein Drittland iSd Art. 44 DSGVO vor. Im Falle einer Übermittlung personenbezogener Daten der Beschwerdeführerin an den Drittstaat Vereinigte Staaten von Amerika, auf welche der 50 U.S. Code Paragraph 1881 a, („FISA 702”) anwendbar ist, sofern diese Bestimmung im Hinblick auf die übermittelten personenbezogenen Daten in der Praxis auch Anwendung findet und/oder allenfalls eine Weitergabe von Daten

Executive Order 12.333 erfolgt und keine zusätzliche Maßnahmen iSd Artikel 46, DSGVO ergriffen worden sind, um ein angemessenes Schutzniveau zu gewährleisten, liegt eine Übermittlung ohne geeignete Garantien in ein Drittland iSd Artikel 44, DSGVO vor. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang/Sachverhalt:römisch eins. Verfahrensgang/Sachverhalt: 1. Die nunmehrige Beschwerdeführerin brachte am 30.10.2020 bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) eine auf § 24 Datenschutzgesetz (DSG) gestützte Datenschutzbeschwerde ein, in der sie eine Verletzung im Recht auf Geheimhaltung

§ 1DSG durch die XXXX (Beschwerdegegnerin) geltend machte.

(Zuvor hatte die Beschwerdeführerin gegen die Beschwerdegegnerin bereits am 07.08.2020 eine Beschwerde nach Art. 77 Datenschutz-Grundverordnung [DSGVO] wegen Verletzung des Rechtes auf Information

Art. 14DSGVO erhoben.) 1.

Die nunmehrige Beschwerdeführerin brachte am 30.10.2020 bei der Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) eine auf Paragraph 24, Datenschutzgesetz (DSG) gestützte Datenschutzbeschwerde ein, in der sie eine Verletzung im Recht auf Geheimhaltung

Paragraph eins, DSG durch die römisch 40 (Beschwerdegegnerin) geltend machte. (Zuvor hatte die Beschwerdeführerin gegen die Beschwerdegegnerin bereits am 07.08.2020 eine Beschwerde nach Artikel 77, Datenschutz-Grundverordnung [DSGVO] wegen Verletzung des Rechtes auf Information

Artikel 14

, DSGVO erhoben.) In der genannten Datenschutzbeschwerde wurde (soweit verfahrensgegenständlich relevant) vorgebracht: Die Beschwerdeführerin (eine Lehrerin an einer AHS) habe erstmals im Juni 2020 in die von der Beschwerdegegnerin angebotene App „ XXXX “ (in der Folge: L.), in welcher Lehrpersonen an österreichischen Schulen bewertet werden könnten, Einsicht genommen und festgestellt, dass personenbezogene Daten verarbeitet würden und offengelegt worden seien, weil im Rahmen der angebotenen App ein unbeschränkter Zugriff auf diese Daten möglich sei. Im Oktober 2020 habe die Beschwerdeführerin erneut Einsicht in die App der Beschwerdegegnerin genommen und dabei zwei abrufbare Bewertungen zur Beschwerdeführerin festgestellt. Weiters könne in der App nunmehr eine Datenschutzerklärung der Beschwerdegegnerin (offenbar) vom 21.10.2020 eingesehen werden, die nicht mit der (ursprünglich von der Beschwerdegegnerin erwähnten) Datenschutzerklärung vom 18.03.2020 übereinstimme. Zu welchem Zeitpunkt die erstmalige Verarbeitung der Daten der Beschwerdeführerin durch die Beschwerdegegnerin erfolgt sei und wann diese Daten bzw. die Bewertungen in der von der Beschwerdegegnerin angebotenen App veröffentlicht worden seien, sei der Beschwerdeführerin nicht bekannt. Die verarbeiteten personenbezogenen Daten seien jedenfalls nicht bei der Beschwerdeführerin erhoben worden, sie habe zur Beschwerdegegnerin nie Kontakt gehabt, keine personenbezogenen Daten mitgeteilt und auch keine Einwilligung zur Verarbeitung erteilt. Es bestehe auch kein (vor-)vertragliches Verhältnis zur Beschwerdegegnerin. Die Beschwerdeführerin (eine Lehrerin an einer AHS) habe erstmals im Juni 2020 in die von der Beschwerdegegnerin angebotene App „ römisch 40 “ (in der Folge: L.), in welcher Lehrpersonen an österreichischen Schulen bewertet werden könnten, Einsicht genommen und festgestellt, dass personenbezogene Daten verarbeitet würden und offengelegt worden seien, weil im Rahmen der angebotenen App ein unbeschränkter Zugriff auf diese Daten möglich sei. Im Oktober 2020 habe die Beschwerdeführerin erneut Einsicht in die App der Beschwerdegegnerin genommen und dabei zwei abrufbare Bewertungen zur Beschwerdeführerin festgestellt. Weiters könne in der App nunmehr eine Datenschutzerklärung der Beschwerdegegnerin (offenbar) vom 21.10.2020 eingesehen werden, die nicht mit der (ursprünglich von der Beschwerdegegnerin erwähnten) Datenschutzerklärung vom 18.03.2020 übereinstimme. Zu welchem Zeitpunkt die erstmalige Verarbeitung der Daten der Beschwerdeführerin durch die Beschwerdegegnerin erfolgt sei und wann diese Daten bzw. die Bewertungen in der von der Beschwerdegegnerin angebotenen App veröffentlicht worden seien, sei der Beschwerdeführerin nicht bekannt. Die verarbeiteten personenbezogenen Daten seien jedenfalls nicht bei der Beschwerdeführerin erhoben worden, sie habe zur Beschwerdegegnerin nie Kontakt gehabt, keine personenbezogenen Daten mitgeteilt und auch keine Einwilligung zur Verarbeitung erteilt. Es bestehe auch kein (vor-)vertragliches Verhältnis zur Beschwerdegegnerin. Die Verarbeitung verstoße in mehrfacher Hinsicht gegen die DSGVO, insbesondere gegen die in Art. 5 DSGVO geregelten Verhaltensgrundsätze sowie mutmaßlich gegen die Vorgaben der Art. 44ff DSGVO im Hinblick auf Datentransfers in Drittländer. Die Verarbeitung verstoße in mehrfacher Hinsicht gegen die DSGVO, insbesondere gegen die in Artikel 5, DSGVO geregelten Verhaltensgrundsätze sowie mutmaßlich gegen die Vorgaben der Artikel 44 f, f, DSGVO im Hinblick auf Datentransfers in Drittländer. Aus den Ausführungen in Punkt

1. der Datenschutzerklärung ergebe sich, dass die Beschwerdegegnerin die App-Entwicklungsplattform „Firebase“, welche von Google angeboten werde, nutze. Unter Punkt
2. der auf die genannte Entwicklungsplattform anwendbaren Datenschutzbestimmungen („Data Transfers“) werde beschrieben, dass Google personenbezogene Daten überall verarbeiten könne, wo Google, die Subauftragsverarbeiter von Google oder Infrastrukturanbieter Einrichtungen („facilities“) betrieben. Weiters werde in Punkt 10.
3. für den Fall der Anwendbarkeit europäischer Datenschutzbestimmungen darauf verwiesen, dass diesbezüglich entweder „Alternative Übermittlungslösungen“ oder die Standardvertragsklauseln als vereinbart gelten sollten. Worauf sich der Begriff „Alternative Übermittlungslösungen“ beziehen solle, sei für die Beschwerdeführerin nicht nachvollziehbar. Hinsichtlich der „als vereinbart geltenden“ Standardvertragsklauseln sei auf die Rechtsprechung des EuGH (16.07.2020, C-311/18 – „Schrems II“) zu verweisen, wonach sich der Verantwortliche im Einzelfall zu vergewissern habe, dass seine Vertragspartner die Standarddatenschutzklauseln auch tatsächlich einhalten können. Wenn die Einhaltung der Standarddatenschutzklauseln dem Empfänger der Übermittlung nicht möglich sei, was nach den öffentlichen verfügbaren Informationen bezüglich Google zutreffen dürfte, weil Google in den Anwendungsbereich von Sec 702 FISA falle, habe der Verantwortliche die betroffene Datenübermittlung auszusetzen. Aus der Datenschutzerklärung der Beschwerdegegnerin ergebe sich nicht, ob und gegebenenfalls welche Überprüfung die Beschwerdegegnerin vorgenommen habe, um festzustellen, ob die Standarddatenschutzklauseln von Google eingehalten würden bzw. werden könnten. Weiters ergäben sich aus der Datenschutzerklärung auch keine Hinweise auf allfällige zusätzliche Schutzmaßnahmen, welche sicherstellen würden, dass das von den Standardvertragsklauseln vorgesehene Schutzniveau nicht durch das anwendbare US-Recht beeinträchtigt werde. Da die Beschwerdegegnerin in der Datenschutzerklärung darauf verweise, dass auch Amazon Web Services als Auftragsverarbeiter herangezogen werde, würden die Beschwerdeausführungen auch für diesen Auftragsverarbeiter analog gelten, wenn nicht sichergestellt sei, dass die Datenverarbeitung in keinem Fall in Drittstaaten erfolge. Insofern die Beschwerdegegnerin daher mutmaßlich Übermittlungen von personenbezogenen Daten in die USA und allenfalls auch andere Drittstaaten vornehme, ohne dass geeignete Garantien iSv Art. 46 DSGVO vorlägen, verstoße die Beschwerdegegnerin gegen die Bestimmungen der Art. 44ff DSGVO. Dadurch sei die Beschwerdeführerin in ihrem Recht auf Geheimhaltung

§ 1DSG verletzt.

Insofern die Beschwerdegegnerin daher mutmaßlich Übermittlungen von personenbezogenen Daten in die USA und allenfalls auch andere Drittstaaten vornehme, ohne dass geeignete Garantien iSv Artikel 46, DSGVO vorlägen, verstoße die Beschwerdegegnerin gegen die Bestimmungen der Artikel 44 f, f, DSGVO. Dadurch sei die Beschwerdeführerin in ihrem Recht auf Geheimhaltung

Paragraph eins, DSG verletzt. Der konkrete Sachverhalt sei in Bezug auf die Datenübermittlung in Drittländer noch klärungsbedürftig, weshalb beantragt werde, die Beschwerdegegnerin

Art. 58Abs. 1 lit. a i

Vm § 22 Abs. 1 DSGVO zur Vorlage der von ihr geführten Verarbeitungsverzeichnisse

Art. 30

DSGVO, soweit diese die verfahrensgegenständlichen Datenverarbeitungen betreffen, der allenfalls durchgeführten Datenschutzfolgeabschätzungen iSd Art. 35 DGSVO sowie die mit Dritten abgeschlossenen Vereinbarungen

Art. 28

DSGVO einschließlich der in diesem Zusammenhang vorgesehenen Garantien

Art. 46ff DGSVO aufzufordern.

Weiters werde die Einschau der Datenschutzbehörde in die bei der Beschwerdegegnerin bestehenden Datenverarbeitungen beantragt, um zu klären, ob personenbezogene Daten der Beschwerdeführerin von der Beschwerdegegnerin ohne das Vorliegen eines Angemessenheitsbeschlusses iSd Art. 45 DSGVO, geeigneter Garantien iSd Art. 46ff DSGVO oder einer Ausnahme

Art. 49DSGVO in Drittstaaten übermittelt würden.

Überdies möge die Datenschutzbehörde die vertretungsbefugten Organe und die für die gegenständlichen Datenverarbeitungen verantwortlichen Mitarbeiter der Beschwerdegegnerin sowie allfällige externe Auftragnehmer der Beschwerdegegnerin einvernehmen, um zu klären, ob bei der Beschwerdegegnerin eine Verarbeitung von personenbezogenen Daten unter Einhaltung der Grundsätze des Art. 5 DSGVO erfolge und insbesondere, ob allenfalls rechtswidrige Übermittlungen der personenbezogenen Daten der Beschwerdeführerin in Drittstaaten erfolgt seien.Der konkrete Sachverhalt sei in Bezug auf die Datenübermittlung in Drittländer noch klärungsbedürftig, weshalb beantragt werde, die Beschwerdegegnerin

Artikel 58

, Absatz eins, Litera a, in Verbindung mit Paragraph 22, Absatz eins, DSGVO zur Vorlage der von ihr geführten Verarbeitungsverzeichnisse

Artikel 30

, DSGVO, soweit diese die verfahrensgegenständlichen Datenverarbeitungen betreffen, der allenfalls durchgeführten Datenschutzfolgeabschätzungen iSd Artikel 35, DGSVO sowie die mit Dritten abgeschlossenen Vereinbarungen

Artikel 28

, DSGVO einschließlich der in diesem Zusammenhang vorgesehenen Garantien

Artikel 46f, f, DGSVO aufzufordern.

Weiters werde die Einschau der Datenschutzbehörde in die bei der Beschwerdegegnerin bestehenden Datenverarbeitungen beantragt, um zu klären, ob personenbezogene Daten der Beschwerdeführerin von der Beschwerdegegnerin ohne das Vorliegen eines Angemessenheitsbeschlusses iSd Artikel 45, DSGVO, geeigneter Garantien iSd Artikel 46 f, f, DSGVO oder einer Ausnahme

Artikel 49, DSGVO in Drittstaaten übermittelt würden.

Überdies möge die Datenschutzbehörde die vertretungsbefugten Organe und die für die gegenständlichen Datenverarbeitungen verantwortlichen Mitarbeiter der Beschwerdegegnerin sowie allfällige externe Auftragnehmer der Beschwerdegegnerin einvernehmen, um zu klären, ob bei der Beschwerdegegnerin eine Verarbeitung von personenbezogenen Daten unter Einhaltung der Grundsätze des Artikel 5, DSGVO erfolge und insbesondere, ob allenfalls rechtswidrige Übermittlungen der personenbezogenen Daten der Beschwerdeführerin in Drittstaaten erfolgt seien. 2. Über Aufforderung der belangten Behörde erstattete die Beschwerdegegnerin am 17.12.2020 durch ihre Rechtsvertretung eine Stellungnahme zur gegenständlichen Beschwerde und führte (soweit verfahrensgegenständlich relevant) aus: Die Zulässigkeit der gegenständlichen Bewertungsplattform L. sei durch die belangte Behörde bereits geprüft und für zulässig erachtet worden. Das amtswegige Prüfverfahren sei ohne Erteilung von Auflagen eingestellt worden. Bereits daraus gehe hervor, dass die von der Beschwerdeführerin behaupteten Verletzungen in ihrem Recht auf Geheimhaltung nicht vorlägen. Es seien auch keine Übermittlungen von Daten der Beschwerdeführerin in Drittländer ohne geeignete Garantien erfolgt. Im Rahmen eines Updates werde eine Aktualisierung der Datenschutzinformation erfolgen. Mittlerweile sei nämlich bereits auf einige der dort derzeit noch genannten Dienste von Firebase verzichtet worden und ein anderer Dienst dazugekommen. Aktuell würden (noch) Firebase Authentication, Firebase Analytics, und Firebase Cloud Messaging verwendet werden. Jedoch würden im Zuge dieser Dienste keine personenbezogenen Daten verarbeitet. Bei Firebase Analytics würden die Anzahl der Nutzer und der Sitzungen, die Dauer der Sitzungen, das Betriebssystem, das Gerätemodell, der Standort (soweit vom Nutzer freigegeben), Starts der App, Updates der App und in App-Käufe verarbeitet werden, zudem werde eine App-Instance-ID verarbeitet, eine der jeweiligen Installation zugeteilte Nummer sowie die ebenfalls nicht personenbezogene Werbe-ID. Aus diesen Daten sei kein Rückschluss auf einen bestimmten Nutzer bzw. keine Identifikation des Nutzers möglich. Im Rahmen von Firebase Cloud Messaging werde lediglich die Firebase-Installations-ID verarbeitet. Diese diene dazu, In-App-Nachrichten versenden zu können. Auch diese Installations-ID sei nicht personenbezogen. Mangels Registrierung sei die Beschwerdeführerin von dieser Datenverarbeitung nicht betroffen. Nur im Rahmen von Firebase Authentication könnten allenfalls pseudonymisierte Daten betroffen sein. Dabei sei wesentlich, dass im Rahmen des Dienstes Firebase Authentication Daten nur im Zuge der Registrierung verarbeitet würden. Da die Beschwerdeführerin - wie sie selbst angebe - kein weiteres Interesse an der Nutzung der App habe und sich daher auch nicht als Nutzerin registriert habe, seien keine personenbezogenen Daten verarbeitet worden. Im Rahmen der Authentifizierung eines Nutzers mittels Telefonnummer werde zusätzlich nur die Telefonnummer abgefragt und somit verarbeitet. Bei der Telefonnummer allein handle es sich zudem nicht um ein personenbezogenes Datum. Selbst wenn man diese Daten jedoch als pseudonymisierte und daher grundsätzlich als personenbezogene Daten qualifizieren wollte, so läge dennoch eine zulässige Übermittlung in die USA vor (sofern eine solche überhaupt durchgeführt werde). Sollte sich der unmittelbare Auftragsverarbeiter Google eines Subauftragsverarbeiters in den USA bedienen, so sei klargestellt, wie auch die Beschwerdeführerin bestätige, dass in diesem Verhältnis Standardvertragsklauseln als vereinbart gelten.

den Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, adopted on 10 November 2020, des Europäischen Datenschutzausschusses, Annex 2 - Examples of supplementary measures, Use case 2 (Rz 80), sei als eine zusätzliche effektive Maßnahme anzusehen, dass lediglich pseudonymisierte Daten übermittelt würden. Auch im vorliegenden Fall würden nur Daten übermittelt, die ohne zusätzliche Informationen weder einer bestimmten betroffenen Person zugeordnet werden noch dazu genutzt werden könnten, eine betroffene Person aus einer größeren Gruppe auszusondern. Eine solche Zuordnung sei gegenständlich nicht einmal dem Datenexporteur oder dem Verantwortlichen möglich. Es sei auch nicht richtig, dass Google in den Anwendungsbereich von Sec 702 des Foreign Intelligence Surveillance Act („FISA 702“) falle und daher die Einhaltung der Standardvertragsklauseln nicht möglich wäre. Entgegen der Ansicht der Beschwerdeführerin habe die Beschwerdegegnerin sehr wohl genau geprüft, ob – wie in der Entscheidung des EuGH vom 16.7.2020, C-311/18 („Schrems II“) gefordert - das unionsrechtlich geforderte Schutzniveau im betreffenden Drittland eingehalten werden könne. Aus dem vom US Department of Commerce publizierten Whitepaper „Information on U.S. Privacy Safeguards Relevant to SCCs and Other EU Legal Bases for EU-U.S. Data Transfers after Schrems II“ gehe hervor, dass die USA einen vergleichbaren oder sogar größeren Schutz der Privatsphäre in Bezug auf nachrichtendienstliche Überwachungen vorsehen würden. Insbesondere lege das Whitepaper im Detail dar, dass der EuGH bei seiner Beurteilung der in „Schrems II“ genannten Rechtsgrundlagen teilweise veraltete Informationen berücksichtigt und andererseits keine vollständige Prüfung vorgenommen habe. Nach einer Überprüfung der in der USA geltenden Rechtslage sei die Beschwerdegegnerin daher zum Schluss gekommen, dass die vom EuGH geäußerten Bedenken nicht zutreffen würden und, dass das von den Standardvertragsklauseln vorgesehene Schutzniveau nicht durch anwendbares US-Recht beeinträchtigt werde, das über das hinausgehe, was in einer demokratischen Gesellschaft zur Gewährleistung u.a. der Sicherheit des Staates, der Landesverteidigung und der öffentlichen Sicherheit erforderlich sei. Im Rahmen der Verarbeitung durch den Auftragsverarbeiter Amazon Web Services würden überhaupt keine Daten in Drittländer übermittelt. Vertragspartner sei die Amazon Web Services EMEA SARL in Luxemburg und Verarbeitungsstandort sei ausschließlich Frankfurt. Zusammengefasst liege sohin keine Übermittlung personenbezogener Daten in ein Drittland ohne geeignete Garantien vor. Selbst wenn man die im Rahmen der verwendeten Firebase Dienste verarbeiteten Daten als personenbezogene Daten qualifizieren würde, so würden dennoch geeignete Garantien iSd Art 44ff DSGVO in Form von Standardvertragsklauseln und zusätzliche effektive Maßnahmen durch Pseudonymisierung dieser Daten vorliegen. Die Beschwerdegegnerin verstoße sohin nicht gegen die Bestimmungen der Art 44 ff DSGVO, sodass die Beschwerdeführerin auch nicht in ihrem Recht auf Geheimhaltung

§ 1DSG verletzt sei.2.

Über Aufforderung der belangten Behörde erstattete die Beschwerdegegnerin am 17.12.2020 durch ihre Rechtsvertretung eine Stellungnahme zur gegenständlichen Beschwerde und führte (soweit verfahrensgegenständlich relevant) aus: Die Zulässigkeit der gegenständlichen Bewertungsplattform L. sei durch die belangte Behörde bereits geprüft und für zulässig erachtet worden. Das amtswegige Prüfverfahren sei ohne Erteilung von Auflagen eingestellt worden. Bereits daraus gehe hervor, dass die von der Beschwerdeführerin behaupteten Verletzungen in ihrem Recht auf Geheimhaltung nicht vorlägen. Es seien auch keine Übermittlungen von Daten der Beschwerdeführerin in Drittländer ohne geeignete Garantien erfolgt. Im Rahmen eines Updates werde eine Aktualisierung der Datenschutzinformation erfolgen. Mittlerweile sei nämlich bereits auf einige der dort derzeit noch genannten Dienste von Firebase verzichtet worden und ein anderer Dienst dazugekommen. Aktuell würden (noch) Firebase Authentication, Firebase Analytics, und Firebase Cloud Messaging verwendet werden. Jedoch würden im Zuge dieser Dienste keine personenbezogenen Daten verarbeitet. Bei Firebase Analytics würden die Anzahl der Nutzer und der Sitzungen, die Dauer der Sitzungen, das Betriebssystem, das Gerätemodell, der Standort (soweit vom Nutzer freigegeben), Starts der App, Updates der App und in App-Käufe verarbeitet werden, zudem werde eine App-Instance-ID verarbeitet, eine der jeweiligen Installation zugeteilte Nummer sowie die ebenfalls nicht personenbezogene Werbe-ID. Aus diesen Daten sei kein Rückschluss auf einen bestimmten Nutzer bzw. keine Identifikation des Nutzers möglich. Im Rahmen von Firebase Cloud Messaging werde lediglich die Firebase-Installations-ID verarbeitet. Diese diene dazu, In-App-Nachrichten versenden zu können. Auch diese Installations-ID sei nicht personenbezogen. Mangels Registrierung sei die Beschwerdeführerin von dieser Datenverarbeitung nicht betroffen. Nur im Rahmen von Firebase Authentication könnten allenfalls pseudonymisierte Daten betroffen sein. Dabei sei wesentlich, dass im Rahmen des Dienstes Firebase Authentication Daten nur im Zuge der Registrierung verarbeitet würden. Da die Beschwerdeführerin - wie sie selbst angebe - kein weiteres Interesse an der Nutzung der App habe und sich daher auch nicht als Nutzerin registriert habe, seien keine personenbezogenen Daten verarbeitet worden. Im Rahmen der Authentifizierung eines Nutzers mittels Telefonnummer werde zusätzlich nur die Telefonnummer abgefragt und somit verarbeitet. Bei der Telefonnummer allein handle es sich zudem nicht um ein personenbezogenes Datum. Selbst wenn man diese Daten jedoch als pseudonymisierte und daher grundsätzlich als personenbezogene Daten qualifizieren wollte, so läge dennoch eine zulässige Übermittlung in die USA vor (sofern eine solche überhaupt durchgeführt werde). Sollte sich der unmittelbare Auftragsverarbeiter Google eines Subauftragsverarbeiters in den USA bedienen, so sei klargestellt, wie auch die Beschwerdeführerin bestätige, dass in diesem Verhältnis Standardvertragsklauseln als vereinbart gelten.

den Recommendations 01 aus 2020, on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, adopted on 10 November 2020, des Europäischen Datenschutzausschusses, Annex 2 - Examples of supplementary measures, Use case 2 (Rz 80), sei als eine zusätzliche effektive Maßnahme anzusehen, dass lediglich pseudonymisierte Daten übermittelt würden. Auch im vorliegenden Fall würden nur Daten übermittelt, die ohne zusätzliche Informationen weder einer bestimmten betroffenen Person zugeordnet werden noch dazu genutzt werden könnten, eine betroffene Person aus einer größeren Gruppe auszusondern. Eine solche Zuordnung sei gegenständlich nicht einmal dem Datenexporteur oder dem Verantwortlichen möglich. Es sei auch nicht richtig, dass Google in den Anwendungsbereich von Sec 702 des Foreign Intelligence Surveillance Act („FISA 702“) falle und daher die Einhaltung der Standardvertragsklauseln nicht möglich wäre. Entgegen der Ansicht der Beschwerdeführerin habe die Beschwerdegegnerin sehr wohl genau geprüft, ob – wie in der Entscheidung des EuGH vom 16.7.2020, C-311/18 („Schrems II“) gefordert - das unionsrechtlich geforderte Schutzniveau im betreffenden Drittland eingehalten werden könne. Aus dem vom US Department of Commerce publizierten Whitepaper „Information on U.S. Privacy Safeguards Relevant to SCCs and Other EU Legal Bases for EU-U.S. Data Transfers after Schrems II“ gehe hervor, dass die USA einen vergleichbaren oder sogar größeren Schutz der Privatsphäre in Bezug auf nachrichtendienstliche Überwachungen vorsehen würden. Insbesondere lege das Whitepaper im Detail dar, dass der EuGH bei seiner Beurteilung der in „Schrems II“ genannten Rechtsgrundlagen teilweise veraltete Informationen berücksichtigt und andererseits keine vollständige Prüfung vorgenommen habe. Nach einer Überprüfung der in der USA geltenden Rechtslage sei die Beschwerdegegnerin daher zum Schluss gekommen, dass die vom EuGH geäußerten Bedenken nicht zutreffen würden und, dass das von den Standardvertragsklauseln vorgesehene Schutzniveau nicht durch anwendbares US-Recht beeinträchtigt werde, das über das hinausgehe, was in einer demokratischen Gesellschaft zur Gewährleistung u.a. der Sicherheit des Staates, der Landesverteidigung und der öffentlichen Sicherheit erforderlich sei. Im Rahmen der Verarbeitung durch den Auftragsverarbeiter Amazon Web Services würden überhaupt keine Daten in Drittländer übermittelt. Vertragspartner sei die Amazon Web Services EMEA SARL in Luxemburg und Verarbeitungsstandort sei ausschließlich Frankfurt. Zusammengefasst liege sohin keine Übermittlung personenbezogener Daten in ein Drittland ohne geeignete Garantien vor. Selbst wenn man die im Rahmen der verwendeten Firebase Dienste verarbeiteten Daten als personenbezogene Daten qualifizieren würde, so würden dennoch geeignete Garantien iSd Artikel 44 f, f, DSGVO in Form von Standardvertragsklauseln und zusätzliche effektive Maßnahmen durch Pseudonymisierung dieser Daten vorliegen. Die Beschwerdegegnerin verstoße sohin nicht gegen die Bestimmungen der Artikel 44, ff DSGVO, sodass die Beschwerdeführerin auch nicht in ihrem Recht auf Geheimhaltung

Paragraph eins, DSG verletzt sei.

1. Die Beschwerdeführerin äußerte sich im Rahmen des gewährten Parteiengehörs mit Schriftsatz vom 15.02.2021 zur Stellungnahme der Beschwerdegegnerin vom 17.12.2020 (soweit verfahrensgegenständlich relevant) wie folgt: Aus den Ergebnissen des amtswegigen Prüfverfahrens ergebe sich nicht, dass das Recht auf Geheimhaltung der Beschwerdeführerin nicht verletzt sei, da sich das Vorbringen der Beschwerdeführerin im gegenständlichen Verfahren teilweise auf Tatsachen beziehe, die sich nach Abschluss des amtswegigen Prüfverfahrens zugetragen hätten. Die Ausführungen der Beschwerdegegnerin zur Übermittlung von Daten der Beschwerdeführerin in Drittländer seien nicht nachvollziehbar und teilweise in sich widersprüchlich. Aus den Ausführungen könne nicht abgleitet werden, welche Dienste von Seiten der Beschwerdegegnerin noch, nicht oder (bald) nicht mehr genützt würden. Zudem sei offenbar auch der Beschwerdegegnerin nicht klar, ob und gegebenenfalls welche personenbezogenen Daten (allenfalls pseudonymisiert) betroffener Personen überhaupt verarbeitet und an Drittländer übermittelt würden. Weiters sei auch die Frage, ob und welche (Sub-)Auftragsverarbeiter von der Beschwerdegegnerin herangezogen würden, offenbar nicht abschließend geklärt. Die Beschwerdegegnerin wäre verpflichtet gewesen, diese Fragen vor Aufnahme der Verarbeitung abzuklären. Die Behauptung der Beschwerdegegnerin, wonach von der Beschwerdeführerin bestätigt worden sei, dass tatsächlich Standardvertragsklauseln vereinbart worden seien, werde zurückgewiesen. Die Beschwerdeführerin habe keine Kenntnis davon, ob und mit wem die Beschwerdegegnerin tatsächlich Standardvertragsklauseln vereinbart habe und welche Verarbeitungen und/oder Daten unter solche Standardvertragsklauseln fielen. Ein solcher Nachweis sei von der Beschwerdegegnerin zu erbringen. Die Entscheidung des EuGH in der Rechtssache „Schrems II“ beziehe sich nur auf den Fall, dass überhaupt Standardvertragsklauseln vereinbart worden seien. Das von der Beschwerdegegnerin genannte „White Paper“ sei rechtlich nicht bindend und die darin enthaltenen Argumente größtenteils bereits im Verfahren vor dem EuGH vorgebracht und von diesem verworfen worden.
2. Über Aufforderung der Datenschutzbehörde beantwortete die Beschwerdegegnerin mit Schriftsatz vom 20.09.2021 konkrete Fragen der belangten Behörde: Die App der Beschwerdegegnerin verarbeite Daten in getrennten Datenbanken. Firebase diene zur Verwaltung der Authentifizierungsinformationen der User, die sich mit ihrem Endgerät (zB Iphone) einloggen. Es sei dabei unerheblich, ob der User ein Lehrer, ein Schüler oder ein sonstiger Nutzer sei. Firebase verarbeite dabei eine Firebase-ID, die beim ersten Aufruf der App erzeugt werde, und die Geräte-ID. Hingegen diene die PostgreSQL Datenbank, die nicht von Google gehostet werde, für alle anderen Informationen. Die Beschwerdeführerin sei als Lehrerin eines bestimmten Bundesgymnasiums erfasst und als solche auch in der Lehrerdatenbank namentlich gespeichert. Sollte die Beschwerdeführerin die App der Beschwerdegegnerin auf ihrem Mobiltelefon installiert haben, würden zusätzlich weitere Daten in einer anderen Datenbank gespeichert werden, die notwendig seien, um die App zu betreiben (Log-in-Daten) und um statistische Auswertungen zu erheben. Konkret komme hierfür die Softwarelösung „Firebase-Authentifizierung“ von Google zum Einsatz. Bei Aufruf der App werde eine Firebase-ID generiert und gemeinsam mit der Device-ID in einem verschlüsselten Token gespeichert. Dies sei technisch erforderlich, um mit dem Gerät kommunizieren zu können. Sollte sich die Beschwerdeführerin zusätzlich mit ihrer Telefonnummer registriert haben, würde auch diese Telefonnummer als zusätzliches Log-In-Datum in dem Token gespeichert werden. Diese Log-in-Daten würden jedoch nicht mit den genannten Daten logisch verknüpft und blieben strikt getrennt. Dass beide Funktionen der App, nämlich die Log-in-Funktion und die Lehrerdatenbank unabhängig und getrennt voneinander verarbeitet würden, diene der Datensicherheit und damit auch dem Datenschutz. Um zu überprüfen, ob die Beschwerdeführerin sich registriert habe, müsste sie ihre Telefonnummer bekanntgeben. Die Beschwerdeführerin habe in ihrem Schriftsatz vom 30.10.2020 selbst nicht vorgebracht, sich registriert zu haben. Um festzustellen, ob neben den genannten Daten noch weitere Daten der Beschwerdeführerin verarbeitet werden, wäre es notwendig, dass die Beschwerdeführerin zusätzlich auch die Telefonnummer bekannt gebe, mit welcher sie sich bei der App der Beschwerdegegnerin registriert habe. Andernfalls sei es nicht möglich, die Beschwerdeführerin zu identifizieren. Die Beschwerdegegnerin habe diese personenbezogenen Daten der Beschwerdeführerin am 08.11.2019 erhoben und an diesem Tag auch erstmals in der App veröffentlicht. Die Frage, welche Firebase-Dienste für die Verarbeitung der Daten der Beschwerdeführerin genützt wurden bzw. aktuell genützt würden, beantwortete die Beschwerdegegnerin dahin, dass nach den Ausführungen der Beschwerdeführerin diese im Oktober 2020 die App der Beschwerdegegnerin einmal genutzt habe, um Screenshots zu machen. Seitdem habe sie die App nicht mehr genutzt und sie habe sich auch nicht registriert. Sollten diese Angaben zutreffen, sei mit Firebase ausschließlich der oben zitierte Token verarbeitet worden, um eine Datenverbindung aufbauen zu können. Ohne Token könnte die App keine Inhalte laden. Weitere Daten würden nicht mittels Firebase verarbeitet. Zur Frage, ob mittels Firebase Cloud Messaging und Firebase Authentication tatsächlich keine Daten der Beschwerdeführerin verarbeitet würden, weil die Beschwerdeführerin ein nicht-registrierter User sei, führte die Beschwerdegegnerin aus, als die Beschwerdeführerin die App als nicht registrierte Nutzerin verwendet habe, sei eine Firebase-ID generiert und mit der Device-ID in die Datenbank geschrieben worden. Es würden niemals (auch bei registrierten Usern) Daten wie Vorname, Nachname etc. über Firebase gespeichert. Dort gebe es nur Device-ID, Mobilfunknummer (sofern registriert) und die Firebase-ID. Mit Firebase Cloud Messeging könnten Nachrichten an die jeweiligen Tokens gesendet werden. Bezüglich „Google Analytics for Firebase“, betreffend die „der jeweiligen Installation zugeteilten Nummer“ („app-instance identifier“), gab die Beschwerdegegnerin folgende Informationen: Dabei werde automatisch eine App-Instanz-ID generiert und jeder Instanz der App zugewiesen. Die Instanz-ID biete eine eindeutige ID pro Instanz der Apps. Neben der Bereitstellung eindeutiger IDs für die Authentifizierung könne die Instanz-ID Sicherheitstoken zur Verwendung mit anderen Diensten generieren. Weitere Informationen könnten unter https://developers.google.com/instance-id aufgerufen werden. Zur Frage, wie die Beschwerdegegnerin „Google Analytics for Firebase“ konfiguriert habe, welche Daten (Number of users and sessions, Session duration, Operating systems, Device models, Geography, First launches, App opens, App updates, In-app purchases) die Beschwerdegegnerin sammle, gab die Beschwerdegegnerin an, es seien keine expliziten Einschränkungen getroffen worden. Die Frage, welche ergänzenden Maßnahmen („supplementary measures“) - neben dem Abschluss von Standardvertragsklauseln - im Sinn des EuGH-Urteils „Schrems II“ seitens der Beschwerdegegnerin ergriffen worden seien, um den Datentransfer in die USA abzusichern, beantwortete die Beschwerdegegnerin dahingehend: Der Europäische Datenschutzausschuss (EDSA) habe am 11.11.2020 ein Papier zu sogenannten zusätzlichen Maßnahmen veröffentlicht, die Unternehmen und andere Datenexporteure gegebenenfalls ergreifen müssten, wenn sie personenbezogene Daten in Drittländer übermittelten. In seinem Papier vom 11.11.2020 gebe der EDSA den Anwendern wichtige Hinweise dazu, welche Gesichtspunkte sie im Rahmen der von ihnen vorzunehmenden Prüfung der Rechtslage im Drittland berücksichtigen müssten. Zudem gebe der EDSA für eine Reihe typischer Szenarien („Use Cases“) Hinweise dazu, inwieweit es möglich sei, überhaupt mit Hilfe zusätzlicher Maßnahmen das geforderte Schutzniveau zu erreichen, und inwieweit dies gegebenenfalls für bestimmte Fallgruppen nicht möglich sei. Grundsätzlich könnten ergänzende Maßnahmen vertraglicher, technischer oder organisatorischer Natur sein. Die Kombination verschiedener Maßnahmen in einer Weise, bei der sie sich gegenseitig unterstützten und aufeinander aufbauten, könne das Schutzniveau erhöhen. In die USA würden ausschließlich Gerätedaten, die Firebase ID und – gegebenenfalls – die Telefonnummer übermittelt. All diese Daten ermöglichten einem Dritten ohne zusätzliche Information nicht, die konkret betroffene Person zu ermitteln. Denn es werde zB der Name der betroffenen Person in keinem Fall an Firebase übermittelt. Dadurch sei das Risiko schon aufgrund der vorgenommenen Konfiguration sehr gering. Bei „Firebase-Authentifizierung“ blieben die Daten darüber hinaus auch im Ruhezustand, d.h., wenn die Datenübertragung abgeschlossen werde, verschlüsselt. Um die Sicherheit personenbezogener Daten zu gewährleisten, setze Firebase umfangreiche Sicherheitsmaßnahmen ein, um den Zugriff zu minimieren: Firebase beschränke den Zugriff auf ausgewählte Mitarbeiter, die aus geschäftlichen Gründen auf personenbezogene Daten zugreifen, Firebase protokolliere den Mitarbeiterzugriff auf Systeme, die personenbezogene Daten enthielten und nur Mitarbeiter, die mittels Google Sign in und einer 2 Faktor-Authentifizierung registriert seien, dürften auf die Daten zugreifen. Weitere Sicherheitsmaßnahmen, die ergriffen worden seien, um eine sichere Verarbeitung in den USA zu gewährleisten, fänden sich im Anhang 2 der Standardvertragsklauseln. Die Beschwerdegegnerin legte den Auftragsverarbeitervertrag

Art. 28

DSGVO zwischen der Beschwerdegegnerin und Google, die zwischen Google Ireland Limited und Google LLC abgeschlossenen Standardvertragsklauseln, die nach den Angaben der Beschwerdegegnerin einen integralen Bestandteil der Google-AGB bildeten und mit der Beschwerdegegnerin direkt abgeschlossen worden seien, sowie die Datenschutzerklärungen der L.-App vor.Die Beschwerdegegnerin legte den Auftragsverarbeitervertrag

Artikel 28

, DSGVO zwischen der Beschwerdegegnerin und Google, die zwischen Google Ireland Limited und Google LLC abgeschlossenen Standardvertragsklauseln, die nach den Angaben der Beschwerdegegnerin einen integralen Bestandteil der Google-AGB bildeten und mit der Beschwerdegegnerin direkt abgeschlossen worden seien, sowie die Datenschutzerklärungen der L.-App vor. 5. Am 19.10.2021 erhob die Beschwerdeführerin eine Säumnisbeschwerde

Art. 130Abs.

1 Z 3 B-VG wegen Verletzung der Entscheidungspflicht der belangten Behörde. Die Beschwerdeführerin führte (nach Wiederholung des Verfahrensganges) aus, dass die Datenschutzbeschwerde am 30.10.2020 bei der belangten Behörde eingebracht worden sei. Die belangte Behörde habe die nach § 73 Abs. 1 AVG eingeräumte Frist um beinahe das Doppelte überschritten. Die Entscheidungspflicht der belangten Behörde sei somit verletzt worden. Die Säumnis sei auf das alleinige Verschulden der belangten Behörde zurückzuführen. 5. Am 19.10.2021 erhob die Beschwerdeführerin eine Säumnisbeschwerde

Artikel 130

, Absatz eins, Ziffer 3, B-VG wegen Verletzung der Entscheidungspflicht der belangten Behörde. Die Beschwerdeführerin führte (nach Wiederholung des Verfahrensganges) aus, dass die Datenschutzbeschwerde am 30.10.2020 bei der belangten Behörde eingebracht worden sei. Die belangte Behörde habe die nach Paragraph 73, Absatz eins, AVG eingeräumte Frist um beinahe das Doppelte überschritten. Die Entscheidungspflicht der belangten Behörde sei somit verletzt worden. Die Säumnis sei auf das alleinige Verschulden der belangten Behörde zurückzuführen.

1. Mit Stellungnahme vom 03.11.2021 führte die Beschwerdeführerin nach Gewährung des Parteiengehörs, u.a. zum Schriftsatz der Beschwerdegegnerin vom 20.09.2021, aus: Sie habe die App im Juni 2020 auf ihrem Mobiltelefon installiert, um Einblick in die verarbeiteten Daten zu nehmen. Nach ihrer Erinnerung sei die Angabe einer Telefonnummer nicht verpflichtend vorgesehen gewesen, sodass sie davon ausgehe, keine Telefonnummer bekanntgegeben zu haben. Sie habe die App danach nicht von ihrem Mobiltelefon gelöscht und gelegentlich Einsicht genommen, so etwa auch im Oktober
2. Die Ausführungen der Beschwerdegegnerin, die App sei nur einmalig genutzt worden, seien daher unrichtig. Ob und welche Token oder sonstige IDs die Beschwerdegegnerin verarbeite, sei für die Beschwerdeführerin nicht nachvollziehbar. Allgemein sei darauf hinzuweisen, dass entsprechende IDs für Google in vielen Fällen sehr wohl personenbezogene Daten darstellen würden, weil die Beschwerdeführerin ein Android-Smartphone nutze, auf dem naturgemäß ein Google-Konto der Beschwerdeführerin aktiviert sei. Hinsichtlich der Ausführungen der Beschwerdegegnerin zu „Google Analytics for Firebase“ sei davon auszugehen, dass die Datenverarbeitung – sofern personenbezogen Daten vorliegen – nicht dem Datenminimierungsgrundsatz entspreche und daher rechtswidrig sei. Ergänzend werde darauf hingewiesen, dass die anwendbaren Bedingungen von Google die Einholung einer Einwilligung betroffener Personen vorsehen würden. Von Seiten der Beschwerdeführerin sei zu keinem Zeitpunkt eine Einwilligung erteilt worden. Der Auftragsverarbeitervertrag

Art. 28

DSGVO sowie die Standardvertragsklauseln seien nur unvollständig übermittelt worden und es sei fraglich, ob diese die Voraussetzungen nach Art. 28 DSGVO erfüllen, weil weder ersichtlich sei, welche konkreten Daten unter die Verarbeitung fielen, noch mit welcher Gesellschaft diese tatsächlich abgeschlossen seien bzw. ob die Standardvertragsklauseln wirksam vereinbart worden seien. Bei den von der Beschwerdegegnerin angeführten „ergänzenden Maßnahmen“ handle es sich lediglich um allgemeine technische und organisatorische Datensicherheitsmaßnahmen und nicht um solche im Sinne der EuGH-Rechtsprechung. Sie habe die App im Juni 2020 auf ihrem Mobiltelefon installiert, um Einblick in die verarbeiteten Daten zu nehmen. Nach ihrer Erinnerung sei die Angabe einer Telefonnummer nicht verpflichtend vorgesehen gewesen, sodass sie davon ausgehe, keine Telefonnummer bekanntgegeben zu haben. Sie habe die App danach nicht von ihrem Mobiltelefon gelöscht und gelegentlich Einsicht genommen, so etwa auch im Oktober 2020. Die Ausführungen der Beschwerdegegnerin, die App sei nur einmalig genutzt worden, seien daher unrichtig. Ob und welche Token oder sonstige IDs die Beschwerdegegnerin verarbeite, sei für die Beschwerdeführerin nicht nachvollziehbar. Allgemein sei darauf hinzuweisen, dass entsprechende IDs für Google in vielen Fällen sehr wohl personenbezogene Daten darstellen würden, weil die Beschwerdeführerin ein Android-Smartphone nutze, auf dem naturgemäß ein Google-Konto der Beschwerdeführerin aktiviert sei. Hinsichtlich der Ausführungen der Beschwerdegegnerin zu „Google Analytics for Firebase“ sei davon auszugehen, dass die Datenverarbeitung – sofern personenbezogen Daten vorliegen – nicht dem Datenminimierungsgrundsatz entspreche und daher rechtswidrig sei. Ergänzend werde darauf hingewiesen, dass die anwendbaren Bedingungen von Google die Einholung einer Einwilligung betroffener Personen vorsehen würden. Von Seiten der Beschwerdeführerin sei zu keinem Zeitpunkt eine Einwilligung erteilt worden. Der Auftragsverarbeitervertrag

Artikel 28

, DSGVO sowie die Standardvertragsklauseln seien nur unvollständig übermittelt worden und es sei fraglich, ob diese die Voraussetzungen nach Artikel 28, DSGVO erfüllen, weil weder ersichtlich sei, welche konkreten Daten unter die Verarbeitung fielen, noch mit welcher Gesellschaft diese tatsächlich abgeschlossen seien bzw. ob die Standardvertragsklauseln wirksam vereinbart worden seien. Bei den von der Beschwerdegegnerin angeführten „ergänzenden Maßnahmen“ handle es sich lediglich um allgemeine technische und organisatorische Datensicherheitsmaßnahmen und nicht um solche im Sinne der EuGH-Rechtsprechung.

1. Mit Teilbescheid vom 22.12.2021, Zl. D124.3223, 2021-0.770.644, gab die belangte Behörde der Datenschutzbeschwerde der Beschwerdeführerin vom 30.10.2020 wegen behaupteter Verletzung im Recht auf Geheimhaltung statt und stellte fest, dass die Beschwerdegegnerin die Beschwerdeführerin mehrere Monate im Jahr 2020 und im Jahr 2021 im Recht auf Geheimhaltung verletzt habe, indem sie aufgrund eines Software-Fehlers die Durchschnittsbewertung der Beschwerdeführerin bereits ab zwei Bewertungen in der L. - App veröffentlicht habe, obwohl die Datenschutzerklärung der Beschwerdegegnerin eine Veröffentlichung erst ab mindestens fünf Bewertungen vorsehe (Spruchpunkt 1.). Der Antrag der Beschwerdeführerin auf Verhängung einer Geldstrafe gegen die Beschwerdegegnerin wurde zurückgewiesen (Spruchpunkt 2.). In diesem Bescheid wies die belangte Behörde darauf hin, dass mit diesem Bescheid nicht über die von der Beschwerdeführerin behauptete Verletzung im Recht auf Geheimhaltung wegen Übermittlung ihrer personenbezogenen Daten in Drittstaaten ohne geeignete Garantien im Zusammenhang mit der von der Beschwerdegegnerin verwendeten App-Entwicklungsplattform „Firebase“ abgesprochen werde. Diesbezüglich werde die Säumnisbeschwerde der Beschwerdeführerin vom 19.10.2021 dem Bundesverwaltungsgericht vorgelegt.
2. In der Folge legte die belangte Behörde mit Schreiben vom 22.12.2021 die Säumnisbeschwerde hinsichtlich der behaupteten Übermittlung personenbezogener Daten in Drittsaaten ohne geeignete Garantien dem Bundesverwaltungsgericht zur Entscheidung vor. Weiters gab die belangte Behörde eine Stellungnahme dahingehend ab, dass sie mit dem nachgeholten Teilbescheid vom 22.12.2021

§ 16Abs. 1 Vw

GVG über sechs der sieben Vorbringen der Beschwerdeführerin betreffend eine Verletzung im Recht auf Geheimhaltung entschieden habe, lediglich über das Vorbringen der mutmaßlichen Übermittlung von personenbezogenen Daten der Beschwerdeführerin in Drittländer ohne geeignete Garantien in Zusammenhang mit der von der Beschwerdegegnerin verwendeten App-Entwicklungsplattform „Firebase“ sei noch nicht entschieden worden. 8. In der Folge legte die belangte Behörde mit Schreiben vom 22.12.2021 die Säumnisbeschwerde hinsichtlich der behaupteten Übermittlung personenbezogener Daten in Drittsaaten ohne geeignete Garantien dem Bundesverwaltungsgericht zur Entscheidung vor. Weiters gab die belangte Behörde eine Stellungnahme dahingehend ab, dass sie mit dem nachgeholten Teilbescheid vom 22.12.2021

Paragraph 16, Absatz eins, VwGVG über sechs der sieben Vorbringen der Beschwerdeführerin betreffend eine Verletzung im Recht auf Geheimhaltung entschieden habe, lediglich über das Vorbringen der mutmaßlichen Übermittlung von personenbezogenen Daten der Beschwerdeführerin in Drittländer ohne geeignete Garantien in Zusammenhang mit der von der Beschwerdegegnerin verwendeten App-Entwicklungsplattform „Firebase“ sei noch nicht entschieden worden. II. Das Bundesverwaltungsgericht hat erwogen: römisch zwei. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen: Die Ausführungen oben unter Punkt I. zum Verfahrensgang (Verwaltungsgeschehen) und Sachverhalt werden festgestellt.Die Ausführungen oben unter Punkt römisch eins. zum Verfahrensgang (Verwaltungsgeschehen) und Sachverhalt werden festgestellt.
2. Beweiswürdigung: Diese Feststellungen ergeben sich aus dem Verwaltungsakt und sind unstrittig.
3. Rechtliche Beurteilung: 3.1.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Datenschutzgesetz (DSG) idg

F entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. 3.1.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 27, Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden

Art. 130Abs.

1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden

Artikel 130

, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. 3.2. Zu A) I.3.2. Zu A) römisch eins. 3.2.1

Art. 130Abs.

1 Z 3 B-VG erkennen die Verwaltungsgerichte über Beschwerden wegen Verletzung der Entscheidungspflicht durch eine Verwaltungsbehörde.3.2.1

Artikel 130

, Absatz eins, Ziffer 3, B-VG erkennen die Verwaltungsgerichte über Beschwerden wegen Verletzung der Entscheidungspflicht durch eine Verwaltungsbehörde.

§ 73Abs.

1 AVG sind die Behörden verpflichtet, wenn in den Verwaltungsvorschriften nicht anderes bestimmt ist, über Anträge von Parteien (§ 8) und Berufungen ohne unnötigen Aufschub, spätestens aber sechs Monate nach deren Einlangen den Bescheid zu erlassen.

Paragraph 73, Absatz eins, AVG sind die Behörden verpflichtet, wenn in den Verwaltungsvorschriften nicht anderes bestimmt ist, über Anträge von Parteien (Paragraph 8,) und Berufungen ohne unnötigen Aufschub, spätestens aber sechs Monate nach deren Einlangen den Bescheid zu erlassen. Nach § 8 Abs. 1 VwGVG kann eine Säumnisbeschwerde erst erhoben werden, wenn die Behörde die Sache nicht innerhalb von sechs Monaten, wenn gesetzlich eine kürzere oder längere Entscheidungsfrist vorgesehen ist, nicht innerhalb dieser entschieden hat. Die Frist beginnt mit dem Zeitpunkt, in dem der Antrag auf Sachentscheidung bei der gesetzlich vorgesehenen Stelle eingelangt ist. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist.Nach Paragraph 8, Absatz eins, VwGVG kann eine Säumnisbeschwerde erst erhoben werden, wenn die Behörde die Sache nicht innerhalb von sechs Monaten, wenn gesetzlich eine kürzere oder längere Entscheidungsfrist vorgesehen ist, nicht innerhalb dieser entschieden hat. Die Frist beginnt mit dem Zeitpunkt, in dem der Antrag auf Sachentscheidung bei der gesetzlich vorgesehenen Stelle eingelangt ist. Die Beschwerde ist abzuweisen, wenn die Verzögerung nicht auf ein überwiegendes Verschulden der Behörde zurückzuführen ist. § 16 VwGVG regelt die „Nachholung des Bescheides“ und lautet:Paragraph 16, VwGVG regelt die „Nachholung des Bescheides“ und lautet: „

Art. 130Abs.

1 Z 3 B-VG kann die Behörde innerhalb einer Frist von bis zu drei Monaten den Bescheid erlassen. Wird der Bescheid erlassen oder wurde er vor Einleitung des Verfahrens erlassen, ist das Verfahren einzustellen.„

Artikel 130

, Absatz eins, Ziffer 3, B-VG kann die Behörde innerhalb einer Frist von bis zu drei Monaten den Bescheid erlassen. Wird der Bescheid erlassen oder wurde er vor Einleitung des Verfahrens erlassen, ist das Verfahren einzustellen.

§ 16Vw

GVG) erledigt, sondern jenen Teil der Datenschutzbeschwerde, der die Verletzung im Recht auf Geheimhaltung aufgrund mutmaßlicher Übermittlung von personenbezogenen Daten der Beschwerdeführerin in Drittländer ohne geeignete Garantien in Zusammenhang mit der von der Beschwerdegegnerin verwendeten App-Entwicklungsplattform „Firebase“ beinhaltet, nicht entschieden. Diesbezüglich hat die belangte Behörde die Säumnisbeschwerde bzw. die Verwaltungssache dem Bundesverwaltungsgericht zur Entscheidung vorgelegt.Diese Datenschutzbeschwerde hat die belangte Behörde nach Erhebung der Säumnisbeschwerde der Beschwerdeführerin mit Teilbescheid vom 22.12.2021 nicht zur Gänze (im Wege der Nachholung des Bescheides

Paragraph 16, VwGVG) erledigt, sondern jenen Teil der Datenschutzbeschwerde, der die Verletzung im Recht auf Geheimhaltung aufgrund mutmaßlicher Übermittlung von personenbezogenen Daten der Beschwerdeführerin in Drittländer ohne geeignete Garantien in Zusammenhang mit der von der Beschwerdegegnerin verwendeten App-Entwicklungsplattform „Firebase“ beinhaltet, nicht entschieden. Diesbezüglich hat die belangte Behörde die Säumnisbeschwerde bzw. die Verwaltungssache dem Bundesverwaltungsgericht zur Entscheidung vorgelegt. Zwar ist nach § 59 Abs. 1 erster Satz AVG die in Verhandlung stehende Angelegenheit „in der Regel zur Gänze“ zu erledigen, doch kann die Behörde nach dem letzten Satz dieser Bestimmung, falls einzelne Punkte von den anderen trennbar und für sich genommen spruchreif sind, über diese Punkte auch durch Teilbescheide absprechen, wenn dies zweckmäßig erscheint. Im vorliegenden Fall ist eine Trennbarkeit im Sinne des § 59 Abs. 1 AVG gegeben, weil in der Datenschutzbeschwerde die Verletzung im Recht auf Geheimhaltung aufgrund mehrerer Umstände, die auf voneinander verschiedenen Sachverhalts- und Rechtsgrundlagen beruhen, geltend gemacht wurde (vgl. Hengstschläger/Leeb, AVG § 59, Rz 103, 109 [Stand 1.7.2005, rdb.at]).Zwar ist nach Paragraph 59, Absatz eins, erster Satz AVG die in Verhandlung stehende Angelegenheit „in der Regel zur Gänze“ zu erledigen, doch kann die Behörde nach dem letzten Satz dieser Bestimmung, falls einzelne Punkte von den anderen trennbar und für sich genommen spruchreif sind, über diese Punkte auch durch Teilbescheide absprechen, wenn dies zweckmäßig erscheint. Im vorliegenden Fall ist eine Trennbarkeit im Sinne des Paragraph 59, Absatz eins, AVG gegeben, weil in der Datenschutzbeschwerde die Verletzung im Recht auf Geheimhaltung aufgrund mehrerer Umstände, die auf voneinander verschiedenen Sachverhalts- und Rechtsgrundlagen beruhen, geltend gemacht wurde vergleiche Hengstschläger/Leeb, AVG Paragraph 59,, Rz 103, 109 [Stand 1.7.2005, rdb.at]). Somit erweist sich die am 19.10.2021 erhobene Säumnisbeschwerde, soweit sie sich auf den bisher unerledigten Teil der Datenschutzbeschwerde vom 30.10.2020 wegen behaupteter Verletzung im Recht auf Geheimhaltung aufgrund mutmaßlicher Übermittlung von personenbezogenen Daten der Beschwerdeführerin in Drittländer ohne geeignete Garantien in Zusammenhang mit der von der Beschwerdegegnerin verwendeten App-Entwicklungsplattform „Firebase“ bezieht, als zulässig, weil die belangte Behörde nicht binnen der sechsmonatigen Entscheidungsfrist über diese Verwaltungssache entschieden hat. Der, nur im genannten Umfang von der belangten Behörde vorgelegten, Säumnisbeschwerde war

§ 8Abs. 1 Vw

GVG stattzugeben, weil die Verzögerung auf ein überwiegendes Verschulden der belangten Behörde zurückzuführen ist.Der, nur im genannten Umfang von der belangten Behörde vorgelegten, Säumnisbeschwerde war

Paragraph 8, Absatz eins, VwGVG stattzugeben, weil die Verzögerung auf ein überwiegendes Verschulden der belangten Behörde zurückzuführen ist. Denn ein überwiegendes („objektives“) Verschulden der Behörde ist dann anzunehmen, wenn diese nicht durch schuldhaftes Verhalten der Partei oder durch unüberwindliche Hindernisse an der Entscheidung gehindert war (vgl. VwGH 24.11.2022, Ra 2022/01/0247, unter Hinweis auf VwGH 19.06.2018, Ra 2018/03/0021, mwN). Denn ein überwiegendes („objektives“) Verschulden der Behörde ist dann anzunehmen, wenn diese nicht durch schuldhaftes Verhalten der Partei oder durch unüberwindliche Hindernisse an der Entscheidung gehindert war vergleiche VwGH 24.11.2022, Ra 2022/01/0247, unter Hinweis auf VwGH 19.06.2018, Ra 2018/03/0021, mwN). Die belangte Behörde hat nicht aufgezeigt, dass derartige Hinderungsgründe der Entscheidung im vorliegenden Fall entgegenstanden. 3.

1. Zu A) II.3.
2. Zu A) römisch zwei. 3.3.
3. Rechtslage: 3.3.1.
4. Art. 4 DSGVO lautet auszugsweise:3.3.1.
5. Artikel 4, DSGVO lautet auszugsweise: „Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:
6. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
7. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
8. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
9. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;“ 3.3.1.
10. Art. 5 DSGVO lautet:3.3.1.
11. Artikel 5, DSGVO lautet: „Grundsätze für die Verarbeitung personenbezogener Daten

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates über die Angemessenheit des vom EU-US-Datenschutzschild gebotenen Schutzes ist ungültig.“ 3.3.1.

1. § 28 Abs. 7 VwGVG lautet:3.3.1.
2. Paragraph 28, Absatz 7, VwGVG lautet: „Im Verfahren über Beschwerden wegen Verletzung der Entscheidungspflicht

Art. 130Abs.

1 Z 3 B-VG kann das Verwaltungsgericht sein Erkenntnis vorerst auf die Entscheidung einzelner maßgeblicher Rechtsfragen beschränken und der Behörde auftragen, den versäumten Bescheid unter Zugrundelegung der hiermit festgelegten Rechtsanschauung binnen bestimmter, acht Wochen nicht übersteigender Frist zu erlassen. Kommt die Behörde dem Auftrag nicht nach, so entscheidet das Verwaltungsgericht über die Beschwerde durch Erkenntnis in der Sache selbst, wobei es auch das sonst der Behörde zustehende Ermessen handhabt.“„Im Verfahren über Beschwerden wegen Verletzung der Entscheidungspflicht

Artikel 130

, Absatz eins, Ziffer 3, B-VG kann das Verwaltungsgericht sein Erkenntnis vorerst auf die Entscheidung einzelner maßgeblicher Rechtsfragen beschränken und der Behörde auftragen, den versäumten Bescheid unter Zugrundelegung der hiermit festgelegten Rechtsanschauung binnen bestimmter, acht Wochen nicht übersteigender Frist zu erlassen. Kommt die Behörde dem Auftrag nicht nach, so entscheidet das Verwaltungsgericht über die Beschwerde durch Erkenntnis in der Sache selbst, wobei es auch das sonst der Behörde zustehende Ermessen handhabt.“ 3.3.

1. Umgelegt auf den gegenständlichen Fall bedeutet dies Folgendes: 3.3.2.
2. Aus der zitierten Norm des § 28 Abs. 7 VwGVG ergibt sich, dass das Verwaltungsgericht in einem Verfahren wie dem vorliegenden über eine Säumnisbeschwerde sein Erkenntnis vorerst auf die Entscheidung einzelner maßgeblicher Rechtsfragen beschränken und der Behörde die Erlassung des versäumten Bescheides unter Zugrundelegung der festgelegten Rechtsanschauung binnen Frist auftragen kann.3.3.2.
3. Aus der zitierten Norm des Paragraph 28, Absatz 7, VwGVG ergibt sich, dass das Verwaltungsgericht in einem Verfahren wie dem vorliegenden über eine Säumnisbeschwerde sein Erkenntnis vorerst auf die Entscheidung einzelner maßgeblicher Rechtsfragen beschränken und der Behörde die Erlassung des versäumten Bescheides unter Zugrundelegung der festgelegten Rechtsanschauung binnen Frist auftragen kann. Der Verwaltungsgerichtshof judiziert in ständiger Rechtsprechung, dass § 28 Abs. 7 erster Satz VwGVG dem Verwaltungsgericht - nach dem Vorbild des § 42 Abs. 4 VwGG aF - eine kondemnatorische Entscheidungsbefugnis einräumt, kraft derer es die belangte Behörde zum Erlass eines Bescheides „verurteilt“. Ob das Verwaltungsgericht von dieser Möglichkeit Gebrauch macht, sein Erkenntnis auf die Entscheidung einzelner maßgeblicher Rechtsfragen zu beschränken, liegt in seinem Ermessen. Auch wenn das Gesetz hier nicht explizit Determinanten nennt, ist davon auszugehen, dass das Verwaltungsgericht bei seiner Entscheidung in erster Linie die Grundsätze der Verfahrensökonomie zu beachten hat. Aus verfahrensökonomischer Sicht wird die Erlassung eines „Teilerkenntnisses“ vor allem dann in Betracht kommen, wenn neben der Lösung der maßgeblichen Rechtsfragen auch noch der Sachverhalt weiter klärungsbedürftig ist (VwGH vom 04.07.2016, Ra 2014/04/0015).Der Verwaltungsgerichtshof judiziert in ständiger Rechtsprechung, dass Paragraph 28, Absatz 7, erster Satz VwGVG dem Verwaltungsgericht - nach dem Vorbild des Paragraph 42, Absatz 4, VwGG aF - eine kondemnatorische Entscheidungsbefugnis einräumt, kraft derer es die belangte Behörde zum Erlass eines Bescheides „verurteilt“. Ob das Verwaltungsgericht von dieser Möglichkeit Gebrauch macht, sein Erkenntnis auf die Entscheidung einzelner maßgeblicher Rechtsfragen zu beschränken, liegt in seinem Ermessen. Auch wenn das Gesetz hier nicht explizit Determinanten nennt, ist davon auszugehen, dass das Verwaltungsgericht bei seiner Entscheidung in erster Linie die Grundsätze der Verfahrensökonomie zu beachten hat. Aus verfahrensökonomischer Sicht wird die Erlassung eines „Teilerkenntnisses“ vor allem dann in Betracht kommen, wenn neben der Lösung der maßgeblichen Rechtsfragen auch noch der Sachverhalt weiter klärungsbedürftig ist (VwGH vom 04.07.2016, Ra 2014/04/0015). 3.3.2.
4. Im vorliegenden Fall ist der Sachverhalt noch weiter klärungsbedürftig. So steht zunächst nicht fest, ob (und bejahendenfalls welche) personenbezogenen Daten der Beschwerdeführerin durch die von der Beschwerdegegnerin verwendeten „Firebase“-Dienste in die USA übermittelt wurden. Die Beschwerdeführerin bringt in diesem Zusammenhang vor, die verfahrensgegenständliche App mehrmals gestartet zu haben, um Einsicht in die verarbeiteten personenbezogenen Daten zu nehmen. Nach dem Vorbringen der Beschwerdegegnerin wird beim Starten der App durch das Tool „Firebase-Analytics“ ein Token generiert, der eine sogenannte „Firebase-ID“ sowie eine „Geräte-ID“ bzw. „Device-ID“ beinhaltet. Die belangte Behörde hat in anderen Verfahren im Bescheid vom 22.12.2021, GZ: D155.027 2021-0.586.257, sowie in einem Teilbescheid vom 22.04.2022 im Zusammenhang mit dem Google-Dienst „Google Analytics“, festgehalten, dass personenbezogene Daten, nämlich jedenfalls eine einzigartige Nutzer-Identifikations-Nummer, IP-Adresse und Browserparameter in die USA übermittelt würden. Hinsichtlich der „einzigartigen Online-Kennungen“ vertrat die belangte Behörde die Ansicht, dass es hiermit möglich sei, Website-Besucher zu unterscheiden und auch die Information zu erhalten, ob es sich um einen neuen oder um einen wiederkehrenden Website-Besucher handle, und dass daher ein Eingriff in das Grundrecht auf Datenschutz

Art. 8

EU-GRC sowie § 1 DSG bereits dann vorliege, wenn gewisse Stellen Maßnahmen – etwa die Zuordnung solcher Kennnummern – setzten, um Website-Besucher derart zu individualisieren. Die belangte Behörde hat in anderen Verfahren im Bescheid vom 22.12.2021, GZ: D155.027 2021-0.586.257, sowie in einem Teilbescheid vom 22.04.2022 im Zusammenhang mit dem Google-Dienst „Google Analytics“, festgehalten, dass personenbezogene Daten, nämlich jedenfalls eine einzigartige Nutzer-Identifikations-Nummer, IP-Adresse und Browserparameter in die USA übermittelt würden. Hinsichtlich der „einzigartigen Online-Kennungen“ vertrat die belangte Behörde die Ansicht, dass es hiermit möglich sei, Website-Besucher zu unterscheiden und auch die Information zu erhalten, ob es sich um einen neuen oder um einen wiederkehrenden Website-Besucher handle, und dass daher ein Eingriff in das Grundrecht auf Datenschutz

Artikel 8

, EU-GRC sowie Paragraph eins, DSG bereits dann vorliege, wenn gewisse Stellen Maßnahmen – etwa die Zuordnung solcher Kennnummern – setzten, um Website-Besucher derart zu individualisieren. Im vorliegenden Fall ist nun fraglich, ob es sich bei der durch „Firebase Analytics“ generierten „Firebase-ID“ bzw. „Device-ID“ (ebenfalls) um eine solche „einzigartige Online-Kennung“ handelt, die ein individualisierendes „Aussondern“ ermöglicht. Dabei ist auch zu beachten, dass die Beschwerdeführerin vorgebracht hat, während der Nutzung der App in ihrem „Google-Konto“ eingeloggt gewesen zu sein, sodass zu prüfen sein wird, ob auch allenfalls durch diese Kombination (Google-Konto und „Firebase-D“ bzw. „Device-ID“) ein Bezug zur Beschwerdeführerin hergestellt und diese identifiziert werden kann. Zudem ist zu klären, welche anderen „Firebase“-Dienste die Beschwerdegegnerin verwendet (hat) und ob (auch) durch diese Dienste personenbezogene Daten der Beschwerdeführerin in die USA übermittelt wurden. Die Datenschutzbehörde wird im (fortgesetzten) Verfahren diesbezügliche Ermittlungen (allenfalls auch durch Einholung eines Sachverständigengutachtens) zu tätigen und Feststellungen hierzu zu treffen haben. 3.3.2.

1. Sofern sich nach Durchführung des Ermittlungsverfahrens auf der Tatsachenebene ergibt, dass personenbezogene Daten der Beschwerdeführerin durch das Tool „Firebase Analytics“ in die USA übermittelt wurden, wäre vor dem Hintergrund der Rechtsprechung des EuGH (16.07.2020, C-311/18) weiters zu prüfen, ob eine Übermittlung ohne geeignete Garantien in ein Drittland vorliegt. Denn Art. 46 Abs. 1 und Art. 46 Abs. 2 Buchst. c der Verordnung 2016/679 sind dahin auszulegen, dass die nach diesen Vorschriften erforderlichen geeigneten Garantien, durchsetzbaren Rechte und wirksamen Rechtsbehelfe gewährleisten müssen, dass die Rechte der Personen, deren personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln in ein Drittland übermittelt werden, ein Schutzniveau genießen, das dem in der Europäischen Union durch diese Verordnung im Licht der Charta der Grundrechte der Europäischen Union garantierten Niveau der Sache nach gleichwertig ist. Bei der insoweit im Zusammenhang mit einer solchen Übermittlung vorzunehmenden Beurteilung sind insbesondere die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Europäischen Union ansässigen Verantwortlichen bzw. seinem dort ansässigen Auftragsverarbeiter und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, sowie, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten personenbezogenen Daten betrifft, die maßgeblichen Elemente der Rechtsordnung dieses Landes, insbesondere die in Art. 45 Abs. 2 der Verordnung 2016/679 genannten Elemente (EuGH 16.07.2020, C-311/18, Rz 203).Denn Artikel 46, Absatz eins und Artikel 46, Absatz 2, Buchst. c der Verordnung 2016/679 sind dahin auszulegen, dass die nach diesen Vorschriften erforderlichen geeigneten Garantien, durchsetzbaren Rechte und wirksamen Rechtsbehelfe gewährleisten müssen, dass die Rechte der Personen, deren personenbezogene Daten auf der Grundlage von Standarddatenschutzklauseln in ein Drittland übermittelt werden, ein Schutzniveau genießen, das dem in der Europäischen Union durch diese Verordnung im Licht der Charta der Grundrechte der Europäischen Union garantierten Niveau der Sache nach gleichwertig ist. Bei der insoweit im Zusammenhang mit einer solchen Übermittlung vorzunehmenden Beurteilung sind insbesondere die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Europäischen Union ansässigen Verantwortlichen bzw. seinem dort ansässigen Auftragsverarbeiter und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, sowie, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten personenbezogenen Daten betrifft, die maßgeblichen Elemente der Rechtsordnung dieses Landes, insbesondere die in Artikel 45, Absatz 2, der Verordnung 2016/679 genannten Elemente (EuGH 16.07.2020, C-311/18, Rz 203). Hierzu hat der EuGH im zitierten Urteil (Rz 178ff) auch ausgeführt: „178 Im vorliegenden Fall ist die von der Kommission im DSS-Beschluss getroffene Feststellung, dass die Vereinigten Staaten ein Schutzniveau gewährleisteten, das dem in der Union durch die DSGVO im Licht der Art. 7 und 8 der Charta garantierten Niveau der Sache nach gleichwertig sei, u. a. mit der Begründung in Frage gestellt worden, dass die Eingriffe, die sich aus den auf Section 702 des FISA und die E.O. 12333 gestützten Überwachungsprogrammen ergäben, keinen Anforderungen unterlägen, mit denen unter Wahrung des Grundsatzes der Verhältnismäßigkeit ein Schutzniveau gewährleistet werde, das dem durch Art. 52 Abs. 1 Satz 2 der Charta garantierten Niveau der Sache nach gleichwertig sei. Daher ist zu prüfen, ob diese Überwachungsprogramme unter Einhaltung solcher Anforderungen durchgeführt werden, ohne dass vorab untersucht werden müsste, ob im genannten Drittland Bedingungen eingehalten werden, die den in Art. 52 Abs. 1 Satz 1 der Charta vorgesehenen Bedingungen der Sache nach gleichwertig sind. „178 Im vorliegenden Fall ist die von der Kommission im DSS-Beschluss getroffene Feststellung, dass die Vereinigten Staaten ein Schutzniveau gewährleisteten, das dem in der Union durch die DSGVO im Licht der Artikel 7 und 8 der Charta garantierten Niveau der Sache nach gleichwertig sei, u. a. mit der Begründung in Frage gestellt worden, dass die Eingriffe, die sich aus den auf Section 702 des FISA und die E.O. 12333 gestützten Überwachungsprogrammen ergäben, keinen Anforderungen unterlägen, mit denen unter Wahrung des Grundsatzes der Verhältnismäßigkeit ein Schutzniveau gewährleistet werde, das dem durch Artikel 52, Absatz eins, Satz 2 der Charta garantierten Niveau der Sache nach gleichwertig sei. Daher ist zu prüfen, ob diese Überwachungsprogramme unter Einhaltung solcher Anforderungen durchgeführt werden, ohne dass vorab untersucht werden müsste, ob im genannten Drittland Bedingungen eingehalten werden, die den in Artikel 52, Absatz eins, Satz 1 der Charta vorgesehenen Bedingungen der Sache nach gleichwertig sind. 179 Insoweit hat die Kommission im
2. Erwägungsgrund des DSS-Beschlusses zu den auf Section 702 des FISA gestützten Überwachungsprogrammen festgestellt, dass „d[er] FISC nach [dieser Vorschrift] keine individuellen Überwachungsmaßnahmen [autorisiert]; vielmehr genehmigt e[r] Überwachungsprogramme (wie PRISM oder UPSTREAM) auf der Grundlage jährlicher Zertifizierungen, die vom Justizminister und [vom] Director of National Intelligence vorgenommen werden“. Wie aus diesem Erwägungsgrund hervorgeht, zielt die vom FISC ausgeübte Kontrolle darauf ab, zu prüfen, ob diese Überwachungsprogramme dem Ziel entsprechen, Auslandsaufklärungsdaten zu erlangen, betrifft aber nicht die Frage, „ob die Personen vorschriftsgemäß als Zielpersonen für die Beschaffung von Auslandsaufklärungsdaten ausgewählt wurden“. 180 Demzufolge lässt Section 702 des FISA in keiner Weise erkennen, dass für die darin enthaltene Ermächtigung zur Durchführung von Überwachungsprogrammen zum Zweck der Auslandsaufklärung Einschränkungen bestehen. Genauso wenig ist erkennbar, dass für potenziell von diesen Programmen erfasste Nicht-US-Personen Garantien existieren. Unter diesen Umständen ist diese Vorschrift, wie der Generalanwalt in den Nrn. 291, 292 und 297 seiner Schlussanträge der Sache nach festgestellt hat, nicht geeignet, ein Schutzniveau zu gewährleisten, das dem durch die Charta – in ihrer Auslegung durch die in den Rn. 175 und 176 des vorliegenden Urteils wiedergegebene Rechtsprechung, wonach eine gesetzliche Grundlage für Eingriffe in Grundrechte, um dem Grundsatz der Verhältnismäßigkeit zu genügen, den Umfang, in dem die Ausübung des betreffenden Rechts eingeschränkt wird, selbst festlegen sowie klare und präzise Regeln für die Tragweite und die Anwendung der betreffenden Maßnahme vorsehen und Mindesterfordernisse aufstellen muss – garantierten Niveau der Sache nach gleichwertig ist. 181 Nach den Feststellungen im DSS-Beschluss müssen die auf Section 702 des FISA gestützten Überwachungsprogramme zwar unter Beachtung der aus der PPD-28 folgenden Anforderungen durchgeführt werden. Während die Kommission in den Erwägungsgründen 69 und 77 des DSS-Beschlusses hervorgehoben hat, dass solche Anforderungen für die amerikanischen Nachrichtendienste verbindlich seien, hat die amerikanische Regierung jedoch auf eine Frage des Gerichtshofs eingeräumt, dass die PPD-28 den betroffenen Personen keine Rechte verleihe, die gegenüber den amerikanischen Behörden gerichtlich durchgesetzt werden könnten. Folglich ist die PPD-28 nicht geeignet, ein Schutzniveau zu gewährleisten, das dem aus der Charta resultierenden Niveau der Sache nach gleichwertig wäre, entgegen den Anforderungen von Art. 45 Abs. 2 Buchst. a der DSGVO, wonach die Feststellung dieses Niveaus u. a. davon abhängt, ob die Personen, deren Daten in das fragliche Drittland übermittelt wurden, über wirksame und durchsetzbare Rechte verfügen.“181 Nach den Feststellungen im DSS-Beschluss müssen die auf Section 702 des FISA gestützten Überwachungsprogramme zwar unter Beachtung der aus der PPD-28 folgenden Anforderungen durchgeführt werden. Während die Kommission in den Erwägungsgründen 69 und 77 des DSS-Beschlusses hervorgehoben hat, dass solche Anforderungen für die amerikanischen Nachrichtendienste verbindlich seien, hat die amerikanische Regierung jedoch auf eine Frage des Gerichtshofs eingeräumt, dass die PPD-28 den betroffenen Personen keine Rechte verleihe, die gegenüber den amerikanischen Behörden gerichtlich durchgesetzt werden könnten. Folglich ist die PPD-28 nicht geeignet, ein Schutzniveau zu gewährleisten, das dem aus der Charta resultierenden Niveau der Sache nach gleichwertig wäre, entgegen den Anforderungen von Artikel 45, Absatz 2, Buchst. a der DSGVO, wonach die Feststellung dieses Niveaus u. a. davon abhängt, ob die Personen, deren Daten in das fragliche Drittland übermittelt wurden, über wirksame und durchsetzbare Rechte verfügen.“ Stellte sich bei der nach dem EuGH vorzunehmenden Beurteilung bezüglich der Gleichwertigkeit des Schutzniveaus im vorliegenden Fall heraus, dass auf die übermittelten personenbezogenen Daten der 50 U.S. Code § 1881a („FISA 702”) anwendbar ist, diese Bestimmung im Hinblick auf die übermittelten personenbezogenen Daten in der Praxis auch Anwendung findet und/oder allenfalls eine Weitergabe von Daten

Executive Order 12.333 erfolgt und keine zusätzlichen Maßnahmen iSd Art. 46 DSGVO ergriffen wurden, um ein angemessenes Schutzniveau zu gewährleisten, läge eine Übermittlung ohne geeignete Garantien in ein Drittland vor. Stellte sich bei der nach dem EuGH vorzunehmenden Beurteilung bezüglich der Gleichwertigkeit des Schutzniveaus im vorliegenden Fall heraus, dass auf die übermittelten personenbezogenen Daten der 50 U.S. Code Paragraph 1881 a, („FISA 702”) anwendbar ist, diese Bestimmung im Hinblick auf die übermittelten personenbezogenen Daten in der Praxis auch Anwendung findet und/oder allenfalls eine Weitergabe von Daten

Executive Order 12.333 erfolgt und keine zusätzlichen Maßnahmen iSd Artikel 46, DSGVO ergriffen wurden, um ein angemessenes Schutzniveau zu gewährleisten, läge eine Übermittlung ohne geeignete Garantien in ein Drittland vor. 3.3.2.

1. Vor diesem Hintergrund ist davon auszugehen, dass der Feststellung des oben angeführten Sachverhaltes für die Behandlung der gegenständlichen Datenschutzbeschwerde bzw. Säumnisbeschwerde zentrale Bedeutung zukommt, weshalb die Voraussetzungen des § 28 Abs. 7 VwGVG vorliegen. Da im vorliegenden Fall der Sachverhalt weiter klärungsbedürftig ist, war im Interesse der Verfahrensökonomie das Ermessen zu Gunsten einer kondemnatorischen Entscheidung zu üben, zumal auch nicht ersichtlich ist, dass einer solchen verfahrensgegenständlich überwiegende Interessen entgegenstehen.3.3.2.
2. Vor diesem Hintergrund ist davon auszugehen, dass der Feststellung des oben angeführten Sachverhaltes für die Behandlung der gegenständlichen Datenschutzbeschwerde bzw. Säumnisbeschwerde zentrale Bedeutung zukommt, weshalb die Voraussetzungen des Paragraph 28, Absatz 7, VwGVG vorliegen. Da im vorliegenden Fall der Sachverhalt weiter klärungsbedürftig ist, war im Interesse der Verfahrensökonomie das Ermessen zu Gunsten einer kondemnatorischen Entscheidung zu üben, zumal auch nicht ersichtlich ist, dass einer solchen verfahrensgegenständlich überwiegende Interessen entgegenstehen. Zu B)

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen. Dass das Bundesverwaltungsgericht von seinem Ermessen nach § 28 Abs. 7 VwGVG Gebrauch machen kann, entspricht der oben dargelegten Rechtsprechung des Verwaltungsgerichtshofes. Es ist auch nicht ersichtlich, dass sich im konkreten Fall eine Rechtsfrage stellt, die über den (hier vorliegenden konkreten) Einzelfall hinaus Bedeutung entfaltet. Ausgehend davon kann eine Rechtsfrage im Sinn des Art. 133 Abs. 4 B-VG von grundsätzlicher Bedeutung auch insofern nicht bejaht werden (vgl. etwa VwGH 25.09.2015, Ra 2015/16/0085, mwN). Es war daher auszusprechen, dass die Revision

Art. 133Abs.

4 B-VG nicht zulässig ist.Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen. Dass das Bundesverwaltungsgericht von seinem Ermessen nach Paragraph 28, Absatz 7, VwGVG Gebrauch machen kann, entspricht der oben dargelegten Rechtsprechung des Verwaltungsgerichtshofes. Es ist auch nicht ersichtlich, dass sich im konkreten Fall eine Rechtsfrage stellt, die über den (hier vorliegenden konkreten) Einzelfall hinaus Bedeutung entfaltet. Ausgehend davon kann eine Rechtsfrage im Sinn des Artikel 133, Absatz 4, B-VG von grundsätzlicher Bedeutung auch insofern nicht bejaht werden vergleiche etwa VwGH 25.09.2015, Ra 2015/16/0085, mwN). Es war daher auszusprechen, dass die Revision

Artikel 133, Absatz 4, B-VG nicht zulässig ist. European Case Law Identifier

ECLI:AT:BVWG:2023:W108.2249843.1.00