Obsah (27)

§ 28 Art. 133 § 1 Art. 57 § 24 Art. 58 § 6 § 27 § 58 § 17 Art. 130 § 57 Artikel 89 Artikel 22 Artikel 46 Artikel 80 Artikel 17 Artikel 83 § 126 § 124 § 134 Art. 15 Art. 51 Art 1 § 181 Art. 4 § 25a

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum10.04.2023 GeschäftszahlW292 2250876-1 Spruch, W292 2250876-1/5E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richte

§ 28Abs. 2 Verwaltungsgerichtsverfahrensgesetz, BGBl. Nr. 33/2013 idg

F (VwGVG), als unbegründet abgewiesen.Die Beschwerde wird

Paragraph 28, Absatz 2, Verwaltungsgerichtsverfahrensgesetz, Bundesgesetzblatt Nr. 33 aus 2013, idgF (VwGVG), als unbegründet abgewiesen. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: 1. Mit dem verfahrensgegenständlichen Bescheid hat die Datenschutzbehörde (belangte Behörde) die Datenschutzbeschwerde der XXXX (Beschwerdeführerin im hg. Verfahren) wegen behaupteter Verletzung im Recht auf Geheimhaltung gegen einen namentlich nicht bekannten datenschutzrechtlichen Verantwortlichen (Beschwerdegegner im Verfahren vor der belangten Behörde) wegen behaupteter Verletzung im Recht auf Geheimhaltung

§ 1DSG abgewiesen.

Dem verfahrenseinleitenden Antrag an die belangte Behörde lag dabei zusammengefasst der Vorwurf zugrunde, dass Unbekannte unter der Telefonnummer XXXX zwischen dem 09.04.2021 und 12.04.2021 eine politische Meinungsumfrage, vorgeblich im Auftrag der XXXX durchgeführt haben sollen, wobei ohne die Zustimmung der Beschwerdeführerin deren Name als mögliche Gegenkandidatin für den Posten des Bürgermeisters verwendet worden sei und weder die Beschwerdeführerin selbst noch die XXXX von dieser Meinungsumfrage in Kenntnis gesetzt gewesen seien.1. Mit dem verfahrensgegenständlichen Bescheid hat die Datenschutzbehörde (belangte Behörde) die Datenschutzbeschwerde der römisch 40 (Beschwerdeführerin im hg. Verfahren) wegen behaupteter Verletzung im Recht auf Geheimhaltung gegen einen namentlich nicht bekannten datenschutzrechtlichen Verantwortlichen (Beschwerdegegner im Verfahren vor der belangten Behörde) wegen behaupteter Verletzung im Recht auf Geheimhaltung

Paragraph eins, DSG abgewiesen. Dem verfahrenseinleitenden Antrag an die belangte Behörde lag dabei zusammengefasst der Vorwurf zugrunde, dass Unbekannte unter der Telefonnummer römisch 40 zwischen dem 09.04.2021 und 12.04.2021 eine politische Meinungsumfrage, vorgeblich im Auftrag der römisch 40 durchgeführt haben sollen, wobei ohne die Zustimmung der Beschwerdeführerin deren Name als mögliche Gegenkandidatin für den Posten des Bürgermeisters verwendet worden sei und weder die Beschwerdeführerin selbst noch die römisch 40 von dieser Meinungsumfrage in Kenntnis gesetzt gewesen seien. Begründend führte die belangte Behörde zur Abweisung der Datenschutzbeschwerde aus, es sei trotz amtswegiger Ermittlungen nicht möglich gewesen, den datenschutzrechtlich Verantwortlichen für die behauptete Datenschutzverletzung ausfindig zu machen; die Datenschutzbehörde habe sich

Art. 57Abs.

1 lit. f DSGVO mit einer Beschwerde zu befassen und den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen, dieser Pflicht sei die belangte Behörde nachgekommen.Begründend führte die belangte Behörde zur Abweisung der Datenschutzbeschwerde aus, es sei trotz amtswegiger Ermittlungen nicht möglich gewesen, den datenschutzrechtlich Verantwortlichen für die behauptete Datenschutzverletzung ausfindig zu machen; die Datenschutzbehörde habe sich

Artikel 57

, Absatz eins, Litera f, DSGVO mit einer Beschwerde zu befassen und den Gegenstand der Beschwerde in angemessenem Umfang zu untersuchen, dieser Pflicht sei die belangte Behörde nachgekommen.

Im Rahmen ihrer dagegen erhobenen Beschwerde wendet die Beschwerdeführerin ein, die belangte Behörde habe einerseits ein mangelhaftes Ermittlungsverfahren geführt, demnach hätte die belangte Behörde insbesondere der Telekommunikationsgesellschaft weitere Aufträge zur Herausgabe der Informationen zu dem Nutzer der in Rede stehenden Prepaid Sim-Karte erteilen müssen, andererseits habe die belangte Behörde die datenschutzrechtlichen Bestimmungen unrichtig angewandt, indem diese den Telekommunikationsanbieter im gegebenen Zusammenhang nicht als Auftragsverarbeiter im Sinne von Art. 28 DSGVO qualifiziert habe; zudem sei die belangte Behörde ihrer Pflicht zur ordnungsgemäßen Begründung des Bescheides nicht nachgekommen, insbesondere sei nicht ersichtlich, welche „amtswegigen Recherchen“ die Behörde durchgeführt habe.
Im Rahmen ihrer dagegen erhobenen Beschwerde wendet die Beschwerdeführerin ein, die belangte Behörde habe einerseits ein mangelhaftes Ermittlungsverfahren geführt, demnach hätte die belangte Behörde insbesondere der Telekommunikationsgesellschaft weitere Aufträge zur Herausgabe der Informationen zu dem Nutzer der in Rede stehenden Prepaid Sim-Karte erteilen müssen, andererseits habe die belangte Behörde die datenschutzrechtlichen Bestimmungen unrichtig angewandt, indem diese den Telekommunikationsanbieter im gegebenen Zusammenhang nicht als Auftragsverarbeiter im Sinne von Artikel 28, DSGVO qualifiziert habe; zudem sei die belangte Behörde ihrer Pflicht zur ordnungsgemäßen Begründung des Bescheides nicht nachgekommen, insbesondere sei nicht ersichtlich, welche „amtswegigen Recherchen“ die Behörde durchgeführt habe.
Die gegenständliche Rechtssache wurde der Gerichtsabteilung W137 mit Verfügung des Geschäftsverteilungsausschusses vom 03.10.2022 abgenommen und der Gerichtsabteilung W292 mit 06.10.2022 zugewiesen. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
Feststellungen: 1.
Unbekannte haben unter Verwendung der Telefonnummer XXXX vom 09.04.2021 bis zum 12.04.2021 eine „politische Meinungsumfrage“, vorgeblich im Auftrag der XXXX durchgeführt, in welcher ohne die Zustimmung der Beschwerdeführerin deren Name als potenzielle Gegenkandidatin für den Posten des Bürgermeisters verwendet wurde. Weder die Beschwerdeführerin noch die XXXX waren über diese „Meinungsumfrage“ in Kenntnis gesetzt worden. Gegen diese Vorgehensweise richtete sich die an die Datenschutzbehörde gerichtete Datenschutzbeschwerde der Beschwerdeführerin wegen der behaupteten Verletzung im Grundrecht auf Geheimhaltung (§ 1 DSG), gegen unbekannte Personen als Beschwerdegegner.1.
Unbekannte haben unter Verwendung der Telefonnummer römisch 40 vom 09.04.2021 bis zum 12.04.2021 eine „politische Meinungsumfrage“, vorgeblich im Auftrag der römisch 40 durchgeführt, in welcher ohne die Zustimmung der Beschwerdeführerin deren Name als potenzielle Gegenkandidatin für den Posten des Bürgermeisters verwendet wurde. Weder die Beschwerdeführerin noch die römisch 40 waren über diese „Meinungsumfrage“ in Kenntnis gesetzt worden. Gegen diese Vorgehensweise richtete sich die an die Datenschutzbehörde gerichtete Datenschutzbeschwerde der Beschwerdeführerin wegen der behaupteten Verletzung im Grundrecht auf Geheimhaltung (Paragraph eins, DSG), gegen unbekannte Personen als Beschwerdegegner. 1.
Nach amtswegiger Recherche ersuchte die Datenschutzbehörde die T-Mobile Austria GmbH mit als „Amtshilfe“ betiteltem Schreiben vom 19.07.2021 zur Zl. XXXX um Herausgabe der Stammdaten (Vorname, Nachname, Firmenbezeichnung und Adresse) betreffend die Rufnummer XXXX .1.
Nach amtswegiger Recherche ersuchte die Datenschutzbehörde die T-Mobile Austria GmbH mit als „Amtshilfe“ betiteltem Schreiben vom 19.07.2021 zur Zl. römisch 40 um Herausgabe der Stammdaten (Vorname, Nachname, Firmenbezeichnung und Adresse) betreffend die Rufnummer römisch 40 . Das betreffende Schreiben lautet wörtlich auszugsweise wie folgt: „[ … ] Betrifft: Amtshilfeersuchen Sehr geehrte Damen und Herren, Die Datenschutzbehörde hat aufgrund einer übermittelten Beschwerde ein Verfahren

§ 1Abs. 1 Datenschutzgesetz BGBl. I. Nr. 165/1999 idg

F gegen den/die unbekannten Beschwerdegegner mit der Telefonnummer +43 XXXX wegen einer behaupteten unzulässigen Datenverarbeitung eingeleitet. Der Beschwerdegegner habe vom

April 2021 bis zum
April 2021 im Gemeindegebiet XXXX für eine politische Meinungsumfrage die personenbezogenen Daten der Beschwerdeführerin verwendet.Die Datenschutzbehörde hat aufgrund einer übermittelten Beschwerde ein Verfahren

Paragraph eins, Absatz eins, Datenschutzgesetz Bundesgesetzblatt römisch eins. Nr. 165 aus 1999, idgF gegen den/die unbekannten Beschwerdegegner mit der Telefonnummer +43 römisch 40 wegen einer behaupteten unzulässigen Datenverarbeitung eingeleitet. Der Beschwerdegegner habe vom

April 2021 bis zum
April 2021 im Gemeindegebiet römisch 40 für eine politische Meinungsumfrage die personenbezogenen Daten der Beschwerdeführerin verwendet. Das Verfahren wird derzeit nicht als Verwaltungsübertretungsverfahren geführt, sondern als Zweiparteienparteienverfahren

§ 24DSG i

Vm § 1 Abs. 1 DSG.Das Verfahren wird derzeit nicht als Verwaltungsübertretungsverfahren geführt, sondern als Zweiparteienparteienverfahren

Paragraph 24, DSG in Verbindung mit Paragraph eins, Absatz eins, DSG. Die Datenschutzbehörde ersucht die T-Mobile Austria GmbH, als verantwortlicher Kommunikationsdienstbetreiber

Art. 58Abs.

1 lit. a DSGVO, zur Herausgabe der Stammdaten (Vorname, Nachname, Firmenbezeichnung und Adresse) betreffend Rufnummer +43 XXXX im Zeitraum vom

April 2021 bis zum
April 2021, binnen einer Frist von zwei Wochen ab Einlangen dieses Schreibens, um den Beschwerdegegner identifizieren zu können. [ … ]“Die Datenschutzbehörde ersucht die T-Mobile Austria GmbH, als verantwortlicher Kommunikationsdienstbetreiber

Artikel 58

, Absatz eins, Litera a, DSGVO, zur Herausgabe der Stammdaten (Vorname, Nachname, Firmenbezeichnung und Adresse) betreffend Rufnummer +43 römisch 40 im Zeitraum vom

April 2021 bis zum
April 2021, binnen einer Frist von zwei Wochen ab Einlangen dieses Schreibens, um den Beschwerdegegner identifizieren zu können. [ … ]“ 1.
Mit Schreiben vom 16.08.2021 nahm die T-Mobile Austria GmbH Stellung und brachte vor, sie sei nicht in der Lage die gegenständlichen Stammdaten herauszugeben, da es an einer gesetzlichen Grundlage fehle. Es sei auch keine Auftragsdatenverabreitungsbeziehung iSd. Art. 28 DSGVO begründet worden. Die T-Mobile Austria GmbH sei weder Verantwortlicher noch Auftragsverarbeiter und verwies auf die von der Datenschutzbehörde genehmigten Verhaltensregeln für Internet Service Provider.1.
Mit Schreiben vom 16.08.2021 nahm die T-Mobile Austria GmbH Stellung und brachte vor, sie sei nicht in der Lage die gegenständlichen Stammdaten herauszugeben, da es an einer gesetzlichen Grundlage fehle. Es sei auch keine Auftragsdatenverabreitungsbeziehung iSd. Artikel 28, DSGVO begründet worden. Die T-Mobile Austria GmbH sei weder Verantwortlicher noch Auftragsverarbeiter und verwies auf die von der Datenschutzbehörde genehmigten Verhaltensregeln für Internet Service Provider.
Beweiswürdigung: Die getroffenen Feststellungen ergeben sich anhand des diesbezüglich eindeutigen und unbedenklichen Inhaltes des Verwaltungsaktes und wurden von der Beschwerdeführerin nicht bestritten.
Rechtliche Beurteilung:

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Da es sich gegenständlich um eine Beschwerde gegen einen Bescheid der Datenschutzbehörde handelt, ist

§ 27Abs.

1 DSG Senatszuständigkeit gegeben.Da es sich gegenständlich um eine Beschwerde gegen einen Bescheid der Datenschutzbehörde handelt, ist

Paragraph 27, Absatz eins, DSG Senatszuständigkeit gegeben. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I Nr. 33/2013, geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, Bundesgesetzblatt Teil eins, Nr. 33 aus 2013,, geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte. Zu A) 3.1. Anzuwendendes Recht: Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, zuletzt geändert durch BGBl. I Nr. 2/2023, lauten auszugsweise wie folgt:Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) in der Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, zuletzt geändert durch Bundesgesetzblatt Teil eins, Nr. 2 aus 2023,, lauten auszugsweise wie folgt: „Grundrecht auf Datenschutz § 1.

(1)Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins,

(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. [ … ] Befugnisse § 22.

(1)Die Datenschutzbehörde kann vom Verantwortlichen oder Auftragsverarbeiter der überprüften Datenverarbeitung insbesondere alle notwendigen Aufklärungen verlangen und Einschau in Datenverarbeitungen und diesbezügliche Unterlagen begehren. Der Verantwortliche oder Auftragsverarbeiter hat die notwendige Unterstützung zu leisten. Die Kontrolltätigkeit ist unter möglichster Schonung der Rechte des Verantwortlichen oder des Auftragsverarbeiters und Dritter auszuüben.Paragraph 22,

(2)Zum Zweck der Einschau ist die Datenschutzbehörde nach Verständigung des Inhabers der Räumlichkeiten und des Verantwortlichen oder des Auftragsverarbeiters berechtigt, Räume, in welchen Datenverarbeitungen vorgenommen werden, zu betreten, Datenverarbeitungsanlagen in Betrieb zu setzen, die zu überprüfenden Verarbeitungen durchzuführen sowie Kopien von Datenträgern in dem für die Ausübung der Kontrollbefugnisse unbedingt erforderlichen Ausmaß herzustellen.

(3)Informationen, die der Datenschutzbehörde oder den von ihr Beauftragten bei der Kontrolltätigkeit zukommen, dürfen ausschließlich für die Kontrolle im Rahmen der Vollziehung datenschutzrechtlicher Vorschriften verwendet werden. Im Übrigen besteht die Pflicht zur Verschwiegenheit auch gegenüber Gerichten und Verwaltungsbehörden, insbesondere Abgabenbehörden; dies allerdings mit der Maßgabe, dass dann, wenn die Einschau den Verdacht einer strafbaren Handlung nach § 63 dieses Bundesgesetzes oder nach §§ 118a, 119, 119a, 126a bis 126c, 148a oder § 278a des Strafgesetzbuches – StGB, BGBl. Nr. 60/1974, oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, ergibt, Anzeige zu erstatten ist und hinsichtlich solcher Verbrechen und Vergehen auch Ersuchen nach § 76 der Strafprozeßordnung – StPO, BGBl. Nr. 631/1975, zu entsprechen ist.

(3)Informationen, die der Datenschutzbehörde oder den von ihr Beauftragten bei der Kontrolltätigkeit zukommen, dürfen ausschließlich für die Kontrolle im Rahmen der Vollziehung datenschutzrechtlicher Vorschriften verwendet werden. Im Übrigen besteht die Pflicht zur Verschwiegenheit auch gegenüber Gerichten und Verwaltungsbehörden, insbesondere Abgabenbehörden; dies allerdings mit der Maßgabe, dass dann, wenn die Einschau den Verdacht einer strafbaren Handlung nach Paragraph 63, dieses Bundesgesetzes oder nach Paragraphen 118 a, 119, 119 a, 126 a bis 126 c, 148 a oder Paragraph 278 a, des Strafgesetzbuches – StGB, Bundesgesetzblatt Nr. 60 aus 1974,, oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, ergibt, Anzeige zu erstatten ist und hinsichtlich solcher Verbrechen und Vergehen auch Ersuchen nach Paragraph 76, der Strafprozeßordnung – StPO, Bundesgesetzblatt Nr. 631 aus 1975,, zu entsprechen ist.

(4)Liegt durch den Betrieb einer Datenverarbeitung eine wesentliche unmittelbare Gefährdung schutzwürdiger Geheimhaltungsinteressen der betroffenen Personen (Gefahr im Verzug) vor, so kann die Datenschutzbehörde die Weiterführung der Datenverarbeitung mit Bescheid

§ 57Abs.

1 des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, BGBl. Nr. 51/1991, untersagen. Wenn dies technisch möglich, im Hinblick auf den Zweck der Datenverarbeitung sinnvoll und zur Beseitigung der Gefährdung ausreichend scheint, kann die Weiterführung auch nur teilweise untersagt werden. Ebenso kann die Datenschutzbehörde auf Antrag einer betroffenen Person eine Einschränkung der Verarbeitung nach Art. 18 DSGVO mit Bescheid

§ 57Abs.

1 AVG anordnen, wenn der Verantwortliche einer diesbezüglichen Verpflichtung nicht fristgerecht nachkommt. Wird einer Untersagung nicht unverzüglich Folge geleistet, hat die Datenschutzbehörde nach Art. 83 Abs. 5 DSGVO vorzugehen.

Paragraph 57, Absatz eins, des Allgemeinen Verwaltungsverfahrensgesetzes 1991 – AVG, Bundesgesetzblatt Nr. 51 aus 1991,, untersagen. Wenn dies technisch möglich, im Hinblick auf den Zweck der Datenverarbeitung sinnvoll und zur Beseitigung der Gefährdung ausreichend scheint, kann die Weiterführung auch nur teilweise untersagt werden. Ebenso kann die Datenschutzbehörde auf Antrag einer betroffenen Person eine Einschränkung der Verarbeitung nach Artikel 18, DSGVO mit Bescheid

Paragraph 57, Absatz eins, AVG anordnen, wenn der Verantwortliche einer diesbezüglichen Verpflichtung nicht fristgerecht nachkommt. Wird einer Untersagung nicht unverzüglich Folge geleistet, hat die Datenschutzbehörde nach Artikel 83, Absatz 5, DSGVO vorzugehen.

(5)Der Datenschutzbehörde obliegt im Rahmen ihrer Zuständigkeit die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen.

(6)Bestehen im Zuge einer auf § 29 gestützten Klage einer betroffenen Person, die sich von einer Einrichtung, Organisation oder Vereinigung im Sinne des Art. 80 Abs. 1 DSGVO vertreten lässt, Zweifel am Vorliegen der diesbezüglichen Kriterien, trifft die Datenschutzbehörde auf Antrag des Einbringungsgerichtes entsprechende Feststellungen mit Bescheid. Diese Einrichtung, Organisation oder Vereinigung hat im Verfahren Parteistellung. Gegen einen negativen Feststellungsbescheid steht ihr die Beschwerde an das Bundesverwaltungsgericht offen.

(6)Bestehen im Zuge einer auf Paragraph 29, gestützten Klage einer betroffenen Person, die sich von einer Einrichtung, Organisation oder Vereinigung im Sinne des Artikel 80, Absatz eins, DSGVO vertreten lässt, Zweifel am Vorliegen der diesbezüglichen Kriterien, trifft die Datenschutzbehörde auf Antrag des Einbringungsgerichtes entsprechende Feststellungen mit Bescheid. Diese Einrichtung, Organisation oder Vereinigung hat im Verfahren Parteistellung. Gegen einen negativen Feststellungsbescheid steht ihr die Beschwerde an das Bundesverwaltungsgericht offen. § 24 Beschwerde an die Datenschutzbehörde Paragraph 24, Beschwerde an die Datenschutzbehörde § 24.

(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24,

(1)Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.

(2)Die Beschwerde hat zu enthalten:

die Bezeichnung des als verletzt erachteten Rechts,
soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),
den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,
die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,
das Begehren, die behauptete Rechtsverletzung festzustellen und
die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(2)Die Beschwerde hat zu enthalten:,

die Bezeichnung des als verletzt erachteten Rechts,,
soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),,
den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,,
die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,,
das Begehren, die behauptete Rechtsverletzung festzustellen und,
die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3)Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten. [ … ]

(5)Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen. [ … ]“ Die fallbezogen maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom

April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung [im Folgenden: DSGVO]), ABl. L 119 vom 4.5.2016, S. 1, lauten auszugsweise wie folgt:Die fallbezogen maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom
April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz Grundverordnung [im Folgenden: DSGVO]), Amtsblatt L 119 vom 4.5.2016, S. 1, lauten auszugsweise wie folgt: „Artikel 4 Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:

(1)„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

(2)„Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; [ … ]

(7)„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

(8)„Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet; [ … ]

(10)„Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;

(11)„Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist; [ … ] Artikel 5 Grundsätze für die Verarbeitung personenbezogener Daten

(1)Personenbezogene Daten müssen

a)auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b)für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2)Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“). Artikel 6 Rechtmäßigkeit der Verarbeitung

(1)Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a)Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b)die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c)die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d)die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e)die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f)die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt. Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2)Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen

Kapitel IX

Kapitel römisch neun.

(3)Die Rechtsgrundlage für die Verarbeitungen

Absatz 1 Buchstaben c und e wird festgelegt durch

a)Unionsrecht oder
b)das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel IX

. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. [ … ] Artikel 15 Auskunftsrecht der betroffenen Person

(1)Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a)die Verarbeitungszwecke;
b)die Kategorien personenbezogener Daten, die verarbeitet werden;
c)die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;
d)falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
e)das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;
f)das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
g)wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;
h)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling

Artikel 22

Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2)Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien

Artikel 46im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3)Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4)Das Recht auf Erhalt einer Kopie

Absatz 1b darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Artikel 57 Aufgaben

(1)Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet [ … ] f) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes

Artikel 80

befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist; [ … ] Artikel 58 Befugnisse

(1)Jede Aufsichtsbehörde verfügt über sämtliche folgenden Untersuchungsbefugnisse, die es ihr gestatten,

a)den Verantwortlichen, den Auftragsverarbeiter und gegebenenfalls den Vertreter des Verantwortlichen oder des Auftragsverarbeiters anzuweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind,
b)Untersuchungen in Form von Datenschutzüberprüfungen durchzuführen,
c)eine Überprüfung der nach Artikel 42 Absatz 7 erteilten Zertifizierungen durchzuführen,
d)den Verantwortlichen oder den Auftragsverarbeiter auf einen vermeintlichen Verstoß gegen diese Verordnung hinzuweisen,
e)von dem Verantwortlichen und dem Auftragsverarbeiter Zugang zu allen personenbezogenen Daten und Informationen, die zur Erfüllung ihrer Aufgaben notwendig sind, zu erhalten, f)

dem Verfahrensrecht der Union oder dem Verfahrensrecht des Mitgliedstaats Zugang zu den Geschäftsräumen, einschließlich aller Datenverarbeitungsanlagen und -geräte, des Verantwortlichen und des Auftragsverarbeiters zu erhalten.

(2)Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,

a)einen Verantwortlichen oder einen Auftragsverarbeiter zu warnen, dass beabsichtigte Verarbeitungsvorgänge voraussichtlich gegen diese Verordnung verstoßen,
b)einen Verantwortlichen oder einen Auftragsverarbeiter zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen diese Verordnung verstoßen hat,
c)den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, den Anträgen der betroffenen Person auf Ausübung der ihr nach dieser Verordnung zustehenden Rechte zu entsprechen,
d)den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit dieser Verordnung zu bringen,
e)den Verantwortlichen anzuweisen, die von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person entsprechend zu benachrichtigen,
f)eine vorübergehende oder endgültige Beschränkung der Verarbeitung, einschließlich eines Verbots, zu verhängen,
g)die Berichtigung oder Löschung von personenbezogenen Daten oder die Einschränkung der Verarbeitung

den Artikeln 16, 17 und 18 und die Unterrichtung der Empfänger, an die diese personenbezogenen Daten

Artikel 17

Absatz 2 und Artikel 19 offengelegt wurden, über solche Maßnahmen anzuordnen, h) eine Zertifizierung zu widerrufen oder die Zertifizierungsstelle anzuweisen, eine

den Artikel 42 und 43 erteilte Zertifizierung zu widerrufen, oder die Zertifizierungsstelle anzuweisen, keine Zertifizierung zu erteilen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden, i) eine Geldbuße

Artikel 83

zu verhängen, zusätzlich zu oder anstelle von in diesem Absatz genannten Maßnahmen, je nach den Umständen des Einzelfalls, j) die Aussetzung der Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation anzuordnen. [ … ]

(4)Die Ausübung der der Aufsichtsbehörde

diesem Artikel übertragenen Befugnisse erfolgt vorbehaltlich geeigneter Garantien einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren

dem Unionsrecht und dem Recht des Mitgliedstaats im Einklang mit der Charta. [ … ]

(6)Jeder Mitgliedstaat kann durch Rechtsvorschriften vorsehen, dass seine Aufsichtsbehörde neben den in den Absätzen 1, 2 und 3 aufgeführten Befugnissen über zusätzliche Befugnisse verfügt. Die Ausübung dieser Befugnisse darf nicht die effektive Durchführung des Kapitels römisch sieben beeinträchtigen. Artikel 95 Verhältnis zur Richtlinie 2002/58/EG Diese Verordnung erlegt natürlichen oder juristischen Personen in Bezug auf die Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen in der Union keine zusätzlichen Pflichten auf, soweit sie besonderen in der Richtlinie 2002/58/EG festgelegten Pflichten unterliegen, die dasselbe Ziel verfolgen. Die maßgebenden Bestimmungen des Telekommunikationsgesetz 2021 – TKG 2021, BGBl. I Nr. 190/2021, geändert durch BGBl. I Nr. 180/2022 (VfGH), lauten auszugsweise: Die maßgebenden Bestimmungen des Telekommunikationsgesetz 2021 – TKG 2021, Bundesgesetzblatt Teil eins, Nr. 190 aus 2021,, geändert durch Bundesgesetzblatt Teil eins, Nr. 180 aus 2022, (VfGH), lauten auszugsweise: „Fangschaltung, belästigende Anrufe § 141.

(1)Fangschaltung ist die vom Willen des Anrufenden unabhängige Feststellung der Identität eines anrufenden Anschlusses.Paragraph 141,

(1)Fangschaltung ist die vom Willen des Anrufenden unabhängige Feststellung der Identität eines anrufenden Anschlusses.

(2)Sofern ein Endnutzer dies zur Verfolgung belästigender Anrufe wünscht, hat der Anbieter eine Fangschaltung für zukünftige Anrufe einzurichten oder beim Betreiber zu veranlassen. Die Fangschaltung kann auch in der Aufhebung der Unterdrückung der Rufnummernanzeige und Speicherung der eingehenden Rufnummern durch den Betreiber bestehen. Er darf dafür ein angemessenes Entgelt verlangen.

(3)Das Ergebnis der Fangschaltung oder der Aufhebung der Unterdrückung der Rufnummernanzeige ist vom Betreiber des Kommunikationsdienstes zu speichern und dem Endnutzer für jene Anrufe bekannt zu geben, für die er die Tatsache von belästigenden Anrufen während der Überwachung glaubhaft macht. [ … ] 14. Abschnitt Kommunikationsgeheimnis, Datenschutz Allgemeines § 160.

(1)Die Bestimmungen dieses Abschnitts gelten für die Verarbeitung einschließlich der Übermittlung von personenbezogenen Daten oder der nicht öffentlich zugänglichen Daten einer juristischen Person in Verbindung mit der Bereitstellung öffentlicher Kommunikationsdienste in öffentlichen Kommunikationsnetzen einschließlich öffentlicher Kommunikationsnetze, die Datenerfassungs- und Identifizierungsgeräte unterstützen.Paragraph 160,

(2)Die Bestimmungen der Strafprozessordnung 1975 (StPO), BGBl. Nr. 631/1975, bleiben durch die Bestimmungen dieses Abschnittes unberührt.

(2)Die Bestimmungen der Strafprozessordnung 1975 (StPO), Bundesgesetzblatt Nr. 631 aus 1975,, bleiben durch die Bestimmungen dieses Abschnittes unberührt.

(3)In diesem Abschnitt bezeichnet unbeschadet des § 4 der Begriff

(3)In diesem Abschnitt bezeichnet unbeschadet des Paragraph 4, der Begriff 1. “Anbieter” Betreiber von öffentlichen Kommunikationsdiensten; 2. “Benutzer” eine Person, die einen öffentlichen Kommunikationsdienst für private oder geschäftliche Zwecke nutzt, ohne diesen Dienst zwangsläufig abonniert zu haben; 3. „Nutzerkennung“ jene Kennung, welche die eindeutige Zuordnung eines Kommunikationsvorgangs zu einem Nutzer ermöglicht; 4. „E Mail-Adresse“ die eindeutige Kennung, die einem elektronischen Postfach von einem Internet-E Mail-Anbieter zugewiesen wird; 5. „Stammdaten“ alle Daten, die für die Begründung, die Abwicklung, Änderung oder Beendigung der Rechtsbeziehungen zwischen dem Benutzer und dem Anbieter oder zur Erstellung und Herausgabe von Nutzerverzeichnissen erforderlich sind; dies sind:

a)Name (Familienname und Vorname bei natürlichen Personen, Name oder Bezeichnung bei juristischen Personen),
b)akademischer Grad bei natürlichen Personen,
c)Anschrift (Wohnadresse bei natürlichen Personen, Sitz oder Rechnungsadresse bei juristischen Personen),
d)Nutzernummer und sonstige Kontaktinformation für die Nachricht,
e)Information über Art und Inhalt des Vertragsverhältnisses,
f)Bonität;
g)Geburtsdatum 6. „Verkehrsdaten“ Daten, die zum Zwecke der Weiterleitung einer Nachricht an ein Kommunikationsnetz oder zum Zwecke der Fakturierung dieses Vorgangs verarbeitet werden; 7. „Zugangsdaten“ jene Verkehrsdaten, die beim Zugang eines Nutzers zu einem öffentlichen Kommunikationsnetz beim Betreiber entstehen und für die Zuordnung der zu einem bestimmten Zeitpunkt für eine Kommunikation verwendeten Netzwerkadressierungen zum Nutzer notwendig sind; 8. “Inhaltsdaten” die Inhalte übertragener Nachrichten (Z 11);8. “Inhaltsdaten” die Inhalte übertragener Nachrichten (Ziffer 11,); 9. „Standortdaten“ Daten, die in einem Kommunikationsnetz oder von einem Kommunikationsdienst verarbeitet werden und die den geografischen Standort der Endeinrichtung eines Benutzers eines öffentlichen Kommunikationsdienstes angeben, im Fall von festen Endeinrichtungen sind Standortdaten die Adresse der Einrichtung; 10. „Standortkennung“ die Kennung einer Funkzelle, über welche eine Mobilfunkverbindung hergestellt wird (Cell ID); 11. „Nachricht“ jede Information, die zwischen einer endlichen Zahl von Beteiligten über einen öffentlichen Kommunikationsdienst ausgetauscht oder weitergeleitet wird. Dies schließt nicht Informationen ein, die als Teil eines Rundfunkdienstes über ein Kommunikationsnetz an die Öffentlichkeit weitergeleitet werden, soweit die Informationen nicht mit dem identifizierbaren Empfänger in Verbindung gebracht werden können; 12. „Dienst mit Zusatznutzen“ jeden Dienst, der die Bearbeitung von Verkehrsdaten oder anderen Standortdaten als Verkehrsdaten in einem Maße erfordert, das über das für die Übermittlung einer Nachricht oder die Fakturierung dieses Vorgangs erforderliche Maß hinausgeht; 13. „elektronische Post“ jede über ein öffentliches Kommunikationsnetz verschickte Text-, Sprach-, Ton- oder Bildnachricht, die im Netz oder im Endgerät des Empfängers gespeichert werden kann, bis sie von diesem abgerufen wird; 14. „E Mail“ elektronische Post, die über das Internet auf Basis des „Simple Mail Transfer Protocol“ (SMTP) versendet wird; 15. „öffentliche IP Adresse“ eine einmalige numerische Adresse aus einem Adressblock, der durch die Internet Assigned Numbers Authority (IANA) oder durch eine regionale Vergabestelle (Regional Internet Registries) einem Anbieter eines Internet-Zugangsdienstes zur Zuteilung von Adressen an seine Kunden zugewiesen wurde, die einen Rechner im Internet eindeutig identifiziert und im Internet geroutet werden kann. Öffentliche IP-Adressen sind Zugangsdaten im Sinne des § 160 Abs. 3 Z 7. Wenn eine konkrete öffentliche IP-Adresse einem Nutzer für die Dauer des Vertrages zur ausschließlichen Nutzung zugewiesen ist, handelt es sich zugleich um ein Stammdatum im Sinne des § 160 Abs. 3 Z 5;15. „öffentliche IP Adresse“ eine einmalige numerische Adresse aus einem Adressblock, der durch die Internet Assigned Numbers Authority (IANA) oder durch eine regionale Vergabestelle (Regional Internet Registries) einem Anbieter eines Internet-Zugangsdienstes zur Zuteilung von Adressen an seine Kunden zugewiesen wurde, die einen Rechner im Internet eindeutig identifiziert und im Internet geroutet werden kann. Öffentliche IP-Adressen sind Zugangsdaten im Sinne des Paragraph 160, Absatz 3, Ziffer 7, Wenn eine konkrete öffentliche IP-Adresse einem Nutzer für die Dauer des Vertrages zur ausschließlichen Nutzung zugewiesen ist, handelt es sich zugleich um ein Stammdatum im Sinne des Paragraph 160, Absatz 3, Ziffer 5,; 16. „Verletzung des Schutzes personenbezogener Daten oder der nicht öffentlich zugänglichen Daten einer juristischen Person“ jede Verletzung der Sicherheit, die auf versehentliche oder unrechtmäßige Weise zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Weitergabe von oder zum unbefugten Zugang zu personenbezogenen Daten oder der nicht öffentlich zugänglichen Daten einer juristischen Person führt, die übertragen, gespeichert oder auf andere Weise im Zusammenhang mit der Bereitstellung öffentlicher Kommunikationsdienste in der Europäischen Union verarbeitet werden. [ … ] Datenschutz – Allgemeines § 165.

(1)Stammdaten, Verkehrsdaten, Standortdaten und Inhaltsdaten dürfen nur für Zwecke der Besorgung eines Kommunikationsdienstes ermittelt oder verarbeitet werden.Paragraph 165,

(1)Stammdaten, Verkehrsdaten, Standortdaten und Inhaltsdaten dürfen nur für Zwecke der Besorgung eines Kommunikationsdienstes ermittelt oder verarbeitet werden.

(2)Die Übermittlung von im Abs. 1 genannten Daten darf nur erfolgen, soweit das für die Erbringung jenes Kommunikationsdienstes, für den diese Daten ermittelt und verarbeitet worden sind, durch den Betreiber eines öffentlichen Kommunikationsdienstes erforderlich ist. Die Verarbeitung der Daten zum Zweck der Vermarktung von Kommunikationsdiensten oder der Bereitstellung von Diensten mit Zusatznutzen sowie sonstige Übermittlungen dürfen nur auf Grund einer jederzeit widerrufbaren Einwilligung der Betroffenen erfolgen. Diese Verarbeitung ist auf das erforderliche Maß und den zur Vermarktung erforderlichen Zeitraum zu beschränken. Betreiber öffentlicher Kommunikationsdienste dürfen die Bereitstellung ihrer Dienste nicht von einer solchen Einwilligung abhängig machen.

(2)Die Übermittlung von im Absatz eins, genannten Daten darf nur erfolgen, soweit das für die Erbringung jenes Kommunikationsdienstes, für den diese Daten ermittelt und verarbeitet worden sind, durch den Betreiber eines öffentlichen Kommunikationsdienstes erforderlich ist. Die Verarbeitung der Daten zum Zweck der Vermarktung von Kommunikationsdiensten oder der Bereitstellung von Diensten mit Zusatznutzen sowie sonstige Übermittlungen dürfen nur auf Grund einer jederzeit widerrufbaren Einwilligung der Betroffenen erfolgen. Diese Verarbeitung ist auf das erforderliche Maß und den zur Vermarktung erforderlichen Zeitraum zu beschränken. Betreiber öffentlicher Kommunikationsdienste dürfen die Bereitstellung ihrer Dienste nicht von einer solchen Einwilligung abhängig machen.

(3)Betreiber öffentlicher Kommunikationsdienste und Anbieter eines Dienstes der Informationsgesellschaft im Sinne des § 3 Z 1 E Commerce-Gesetz, BGBl. I Nr. 152/2001, sind verpflichtet, den Nutzer oder Benutzer darüber zu informieren, welche personenbezogenen Daten er verarbeiten wird, auf welcher Rechtsgrundlage und für welche Zwecke dies erfolgt und für wie lange die Daten gespeichert werden. Eine Ermittlung dieser Daten ist nur zulässig, wenn der Nutzer oder Benutzer seine Einwilligung dazu aktiv und auf Grundlage von klaren und umfassenden Informationen erteilt hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein Kommunikationsnetz ist oder, wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Nutzer oder Benutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann. Der Nutzer ist auch über die Nutzungsmöglichkeiten auf Grund der in elektronischen Fassungen der Verzeichnisse eingebetteten Suchfunktionen zu informieren. Diese Information hat in geeigneter Form, insbesondere im Rahmen Allgemeiner Geschäftsbedingungen und spätestens bei Beginn der Rechtsbeziehungen zu erfolgen.

(3)Betreiber öffentlicher Kommunikationsdienste und Anbieter eines Dienstes der Informationsgesellschaft im Sinne des Paragraph 3, Ziffer eins, E Commerce-Gesetz, Bundesgesetzblatt Teil eins, Nr. 152 aus 2001,, sind verpflichtet, den Nutzer oder Benutzer darüber zu informieren, welche personenbezogenen Daten er verarbeiten wird, auf welcher Rechtsgrundlage und für welche Zwecke dies erfolgt und für wie lange die Daten gespeichert werden. Eine Ermittlung dieser Daten ist nur zulässig, wenn der Nutzer oder Benutzer seine Einwilligung dazu aktiv und auf Grundlage von klaren und umfassenden Informationen erteilt hat. Dies steht einer technischen Speicherung oder dem Zugang nicht entgegen, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein Kommunikationsnetz ist oder, wenn dies unbedingt erforderlich ist, damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Nutzer oder Benutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann. Der Nutzer ist auch über die Nutzungsmöglichkeiten auf Grund der in elektronischen Fassungen der Verzeichnisse eingebetteten Suchfunktionen zu informieren. Diese Information hat in geeigneter Form, insbesondere im Rahmen Allgemeiner Geschäftsbedingungen und spätestens bei Beginn der Rechtsbeziehungen zu erfolgen. Stammdaten § 166.

(1)Stammdaten dürfen unbeschadet der § 165 Abs. 1 und 2 sowie § 181 Abs. 8 und 9 von Anbietern nur für folgende Zwecke verarbeitet werden:

Abschluss, Durchführung, Änderung oder Beendigung des Vertrages mit dem Nutzer;
Verrechnung der Entgelte;
Erstellung von Nutzerverzeichnissen,

§ 126und4.

Erteilung von Auskünften an Betreiber von Notdiensten,

§ 124.Paragraph 166,

(1)Stammdaten dürfen unbeschadet der Paragraph 165, Absatz eins und 2 sowie Paragraph 181, Absatz 8 und 9 von Anbietern nur für folgende Zwecke verarbeitet werden:,

Abschluss, Durchführung, Änderung oder Beendigung des Vertrages mit dem Nutzer;,
Verrechnung der Entgelte;,
Erstellung von Nutzerverzeichnissen,

Paragraph 126, und, 4. Erteilung von Auskünften an Betreiber von Notdiensten,

Paragraph 124,

(2)Vor Durchführung des Vertrages sowie vor der erstmaligen Wiederaufladung nach dem 1. September 2019 ist durch oder für den Anbieter die Identität des Nutzers zu erheben und sind die zur Identifizierung des Nutzers erforderlichen Stammdaten (§ 160 Abs. 3 Z 5 lit. a, b und g) anhand geeigneter Identifizierungsverfahren zu registrieren. Die Festlegung geeigneter Identifizierungsverfahren erfolgt durch Verordnung der Bundesministerin für Landwirtschaft, Regionen und Tourismus im Einvernehmen mit dem Bundesminister für Inneres. Die Abgeltung unbedingt erforderlicher Investitionen erfolgt nach den Regeln des § 162 Abs. 1.

(2)Vor Durchführung des Vertrages sowie vor der erstmaligen Wiederaufladung nach dem 1. September 2019 ist durch oder für den Anbieter die Identität des Nutzers zu erheben und sind die zur Identifizierung des Nutzers erforderlichen Stammdaten (Paragraph 160, Absatz 3, Ziffer 5, Litera a, b und g) anhand geeigneter Identifizierungsverfahren zu registrieren. Die Festlegung geeigneter Identifizierungsverfahren erfolgt durch Verordnung der Bundesministerin für Landwirtschaft, Regionen und Tourismus im Einvernehmen mit dem Bundesminister für Inneres. Die Abgeltung unbedingt erforderlicher Investitionen erfolgt nach den Regeln des Paragraph 162, Absatz eins,

(3)Stammdaten sind spätestens nach Beendigung der vertraglichen Beziehungen mit dem Nutzer vom Betreiber zu löschen. Ausnahmen sind nur soweit zulässig, als diese Daten noch benötigt werden, um Entgelte zu verrechnen oder einzubringen, Beschwerden zu bearbeiten oder sonstige gesetzliche Verpflichtungen zu erfüllen.Verkehrsdaten

(1)Verkehrsdaten dürfen außer in den in diesem Gesetz ausdrücklich geregelten Fällen nicht gespeichert oder übermittelt werden und sind vom Anbieter nach Beendigung der Verbindung unverzüglich zu löschen oder zu anonymisieren. Die Zulässigkeit der weiteren Verarbeitung von Verkehrsdaten, die nach Abs. 5 übermittelt werden, richtet sich nach den Vorschriften der StPO, des FinStrG, des SPG, des SNG sowie des MBG.Paragraph 167,

(1)Verkehrsdaten dürfen außer in den in diesem Gesetz ausdrücklich geregelten Fällen nicht gespeichert oder übermittelt werden und sind vom Anbieter nach Beendigung der Verbindung unverzüglich zu löschen oder zu anonymisieren. Die Zulässigkeit der weiteren Verarbeitung von Verkehrsdaten, die nach Absatz 5, übermittelt werden, richtet sich nach den Vorschriften der StPO, des FinStrG, des SPG, des SNG sowie des MBG.

(2)Sofern dies für Zwecke der Verrechnung von Endkunden- oder Vorleistungsentgelten erforderlich ist, hat der Betreiber eines öffentlichen Kommunikationsnetzes oder -dienstes Verkehrsdaten zu speichern. Die Verkehrsdaten sind zu löschen oder zu anonymisieren, sobald der Bezahlvorgang durchgeführt wurde und innerhalb einer Frist von drei Monaten die Entgelte nicht schriftlich beeinsprucht wurden. Die Daten sind jedoch nicht zu löschen, wenn

ein fristgerechter Einspruch erhoben wurde, bis zum Ablauf jener Frist, innerhalb derer die Abrechnung rechtlich angefochten werden kann.
die Rechnung nicht beglichen wurde, bis zum Ablauf jener Frist, bis zu der der Anspruch auf Zahlung geltend gemacht werden kann,
ein Verfahren über die Höhe der Entgelte eingeleitet wurde, bis zur endgültigen Entscheidung, oder
eine Anordnung nach § 135 Abs. 2b StPO erlassen wird, bis zum Ablauf der angeordneten Dauer oder auf Grund einer Anordnung der Staatsanwaltschaft (§ 138 Abs. 2 StPO).

ein fristgerechter Einspruch erhoben wurde, bis zum Ablauf jener Frist, innerhalb derer die Abrechnung rechtlich angefochten werden kann.,
die Rechnung nicht beglichen wurde, bis zum Ablauf jener Frist, bis zu der der Anspruch auf Zahlung geltend gemacht werden kann,,
ein Verfahren über die Höhe der Entgelte eingeleitet wurde, bis zur endgültigen Entscheidung, oder,
eine Anordnung nach Paragraph 135, Absatz 2 b, StPO erlassen wird, bis zum Ablauf der angeordneten Dauer oder auf Grund einer Anordnung der Staatsanwaltschaft (Paragraph 138, Absatz 2, StPO). Die Daten nach Z 1 bis 3 sind im Streitfall der entscheidenden Einrichtung sowie der Schlichtungsstelle (§ 205) unverkürzt zur Verfügung zu stellen. Der Umfang der gespeicherten Verkehrsdaten ist auf das unbedingt notwendige Minimum zu beschränken.Die Daten nach Ziffer eins bis 3 sind im Streitfall der entscheidenden Einrichtung sowie der Schlichtungsstelle (Paragraph 205,) unverkürzt zur Verfügung zu stellen. Der Umfang der gespeicherten Verkehrsdaten ist auf das unbedingt notwendige Minimum zu beschränken.

(3)Die Verarbeitung mit Ausnahme der Übermittlung von Verkehrsdaten darf nur durch solche Personen erfolgen, die für die Entgeltverrechnung oder Verkehrsabwicklung, Behebung von Störungen, Kundenanfragen, Betrugsermittlung oder Vermarktung der Kommunikationsdienste oder für die Bereitstellung von Diensten mit Zusatznutzen zuständig sind oder die von diesen Personen beauftragt wurden. Der Umfang der verarbeiteten Verkehrsdaten ist auf das unbedingt notwendige Minimum zu beschränken.

(4)Dem Anbieter ist es außer in den in diesem Gesetz besonders geregelten Fällen untersagt, einen Teilnehmeranschluss über die Zwecke der Verrechnung hinaus nach den von diesem Anschluss aus angerufenen Nutzernummer auszuwerten. Mit Zustimmung des Nutzers darf der Anbieter die Daten zur Vermarktung für Zwecke der eigenen Telekommunikationsdienste oder für die Bereitstellung von Diensten mit Zusatznutzen verwenden.

(5)Eine Verarbeitung von Verkehrsdaten zu Auskunftszwecken ist zulässig zur Auskunft über1. Daten einer Nachrichtenübermittlung

§ 134Z 2 St

PO;

Zugangsdaten an Gerichte und Staatsanwaltschaften nach Maßgabe des § 76a Abs. 2 StPO.
Verkehrsdaten und Stammdaten, wenn hiefür die Verarbeitung von Verkehrsdaten erforderlich ist, sowie zur Auskunft über Standortdaten an nach dem SPG zuständige Sicherheitsbehörden nach Maßgabe des § 53 Abs. 3a und 3b SPG, § 11 Abs. 1 Z 5 SNG sowie § 22 Abs. 2b MBG. Ist eine aktuelle Standortfeststellung nicht möglich, darf die Standortkennung (Cell ID) zum letzten Kommunikationsvorgang der Endeinrichtung verarbeitet werden;
Zugangsdaten, wenn diese längstens drei Monate vor der Anfrage gespeichert wurden, an nach dem SPG zuständige Sicherheitsbehörden nach Maßgabe des § 53 Abs. 3a Z 3 SPG, des § 11 Abs. 1 Z 5 SNG, des § 99 Abs. 3a FinStrG sowie des § 22 Abs. 2b MBG;
Verkehrsdaten, Zugangsdaten und Standortdaten nach Maßgabe des § 11 Abs. 1 Z 7 SNG sowie des § 22 Abs. 2b MBG.

(5)Eine Verarbeitung von Verkehrsdaten zu Auskunftszwecken ist zulässig zur Auskunft über, 1. Daten einer Nachrichtenübermittlung

Paragraph 134, Ziffer 2, StPO;,

Zugangsdaten an Gerichte und Staatsanwaltschaften nach Maßgabe des Paragraph 76 a, Absatz 2, StPO.,
Verkehrsdaten und Stammdaten, wenn hiefür die Verarbeitung von Verkehrsdaten erforderlich ist, sowie zur Auskunft über Standortdaten an nach dem SPG zuständige Sicherheitsbehörden nach Maßgabe des Paragraph 53, Absatz 3 a und 3 b SPG, Paragraph 11, Absatz eins, Ziffer 5, SNG sowie Paragraph 22, Absatz 2 b, MBG. Ist eine aktuelle Standortfeststellung nicht möglich, darf die Standortkennung (Cell ID) zum letzten Kommunikationsvorgang der Endeinrichtung verarbeitet werden;,
Zugangsdaten, wenn diese längstens drei Monate vor der Anfrage gespeichert wurden, an nach dem SPG zuständige Sicherheitsbehörden nach Maßgabe des Paragraph 53, Absatz 3 a, Ziffer 3, SPG, des Paragraph 11, Absatz eins, Ziffer 5, SNG, des Paragraph 99, Absatz 3 a, FinStrG sowie des Paragraph 22, Absatz 2 b, MBG;,
Verkehrsdaten, Zugangsdaten und Standortdaten nach Maßgabe des Paragraph 11, Absatz eins, Ziffer 7, SNG sowie des Paragraph 22, Absatz 2 b, MBG. Unerbetene Nachrichten § 174.

(1)Anrufe – einschließlich das Senden von Fernkopien – zu Werbezwecken ohne vorherige Einwilligung des Nutzers sind unzulässig. Der Einwilligung des Nutzers steht die Einwilligung einer Person, die vom Endnutzer zur Benützung seines Anschlusses ermächtigt wurde, gleich. Die erteilte Einwilligung kann jederzeit widerrufen werden; der Widerruf der Einwilligung hat auf ein Vertragsverhältnis mit dem Adressaten der Einwilligung keinen Einfluss.Paragraph 174,

(2)Bei Telefonanrufen zu Werbezwecken darf die Rufnummernanzeige durch den Anrufer nicht unterdrückt oder verfälscht werden und der Diensteanbieter nicht veranlasst werden, diese zu unterdrücken oder zu verfälschen.

(3)Die Zusendung einer elektronischen Post – einschließlich SMS – ist ohne vorherige Einwilligung des Empfängers unzulässig, wenn die Zusendung zu Zwecken der Direktwerbung erfolgt.

(4)Eine vorherige Einwilligung für die Zusendung elektronischer Post

Abs. 3 ist dann nicht notwendig, wenn

der Absender die Kontaktinformation für die Nachricht im Zusammenhang mit dem Verkauf oder einer Dienstleistung an seine Kunden erhalten hat und
diese Nachricht zur Direktwerbung für eigene ähnliche Produkte oder Dienstleistungen erfolgt und
der Empfänger klar und deutlich die Möglichkeit erhalten hat, eine solche Nutzung der elektronischen Kontaktinformation bei deren Erhebung und zusätzlich bei jeder Übertragung kostenfrei und problemlos abzulehnen und
der Empfänger die Zusendung nicht von vornherein, insbesondere nicht durch Eintragung in die in § 7 Abs. 2 E Commerce-Gesetz genannte Liste, abgelehnt hat.

(4)Eine vorherige Einwilligung für die Zusendung elektronischer Post

Absatz 3, ist dann nicht notwendig, wenn,

der Absender die Kontaktinformation für die Nachricht im Zusammenhang mit dem Verkauf oder einer Dienstleistung an seine Kunden erhalten hat und,
diese Nachricht zur Direktwerbung für eigene ähnliche Produkte oder Dienstleistungen erfolgt und,
der Empfänger klar und deutlich die Möglichkeit erhalten hat, eine solche Nutzung der elektronischen Kontaktinformation bei deren Erhebung und zusätzlich bei jeder Übertragung kostenfrei und problemlos abzulehnen und,
der Empfänger die Zusendung nicht von vornherein, insbesondere nicht durch Eintragung in die in Paragraph 7, Absatz 2, E Commerce-Gesetz genannte Liste, abgelehnt hat.

(5)Die Zusendung elektronischer Post zu Zwecken der Direktwerbung ist jedenfalls unzulässig, wenn

die Identität des Absenders, in dessen Auftrag die Nachricht übermittelt wird, verschleiert oder verheimlicht wird, oder
die Bestimmungen des § 6 Abs. 1 E Commerce-Gesetz verletzt werden, oder
der Empfänger aufgefordert wird, Websites zu besuchen, die gegen die genannte Bestimmung verstoßen oder
keine authentische Adresse vorhanden ist, an die der Empfänger eine Aufforderung zur Einstellung solcher Nachrichten richten kann.

(5)Die Zusendung elektronischer Post zu Zwecken der Direktwerbung ist jedenfalls unzulässig, wenn,

die Identität des Absenders, in dessen Auftrag die Nachricht übermittelt wird, verschleiert oder verheimlicht wird, oder,
die Bestimmungen des Paragraph 6, Absatz eins, E Commerce-Gesetz verletzt werden, oder,
der Empfänger aufgefordert wird, Websites zu besuchen, die gegen die genannte Bestimmung verstoßen oder,
keine authentische Adresse vorhanden ist, an die der Empfänger eine Aufforderung zur Einstellung solcher Nachrichten richten kann.

(6)Wurden Verwaltungsübertretungen nach Absatz 1, 3 oder 5 nicht im Inland begangen, gelten sie als an jenem Ort begangen, an dem die unerbetene Nachricht den Anschluss des Nutzers erreicht. Informationspflichten § 181.

(1)…Paragraph 181,

(1)…

(8)Anbieter sind verpflichtet, Verwaltungsbehörden auf deren schriftliches und begründetes Verlangen Auskunft über Stammdaten im Sinne von § 160 Abs. 3 Z 5 lit. a bis e und g von Nutzern zu geben, die in Verdacht stehen, durch eine über ein öffentliches Telekommunikationsnetz gesetzte Handlung eine Verwaltungsübertretung begangen zu haben, soweit dies ohne Verarbeitung von Verkehrsdaten möglich ist.

(8)Anbieter sind verpflichtet, Verwaltungsbehörden auf deren schriftliches und begründetes Verlangen Auskunft über Stammdaten im Sinne von Paragraph 160, Absatz 3, Ziffer 5, Litera a bis e und g von Nutzern zu geben, die in Verdacht stehen, durch eine über ein öffentliches Telekommunikationsnetz gesetzte Handlung eine Verwaltungsübertretung begangen zu haben, soweit dies ohne Verarbeitung von Verkehrsdaten möglich ist. 3.

Zur Abweisung der Beschwerde: 3.2.
Nach Ansicht der Beschwerdeführerin hat die belangte Behörde ein mangelhaftes Ermittlungsverfahren durchgeführt, indem sie die Identität des Nutzers einer bestimmten Mobiltelefonnummer nicht von dem betreffenden Betreiber, nachdem dieser die Herausgabe der betreffenden Stammdaten verweigert hat, durch weitere behördliche Anordnungen erwirkt hat. In diesem Zusammenhang vertritt die Beschwerdeführerin die Rechtsansicht, bei dem Betreiber des Telekommunikationsnetzes handle es sich um einen Auftragsverarbeiter im Sinne von Art. 28 DSGVO, der verpflichtet sei, die Stammdaten des betreffenden Nutzers im Rahmen der Pflicht zur Auskunftserteilung

Art. 15DSGVO herauszugeben.

Der Rechtsansicht der Beschwerdeführerin war aufgrund der nachstehenden Erwägungen nicht zu folgen. 3.2.1. Nach Ansicht der Beschwerdeführerin hat die belangte Behörde ein mangelhaftes Ermittlungsverfahren durchgeführt, indem sie die Identität des Nutzers einer bestimmten Mobiltelefonnummer nicht von dem betreffenden Betreiber, nachdem dieser die Herausgabe der betreffenden Stammdaten verweigert hat, durch weitere behördliche Anordnungen erwirkt hat. In diesem Zusammenhang vertritt die Beschwerdeführerin die Rechtsansicht, bei dem Betreiber des Telekommunikationsnetzes handle es sich um einen Auftragsverarbeiter im Sinne von Artikel 28, DSGVO, der verpflichtet sei, die Stammdaten des betreffenden Nutzers im Rahmen der Pflicht zur Auskunftserteilung

Artikel 15, DSGVO herauszugeben.

Der Rechtsansicht der Beschwerdeführerin war aufgrund der nachstehenden Erwägungen nicht zu folgen. 3.2.2. Fallbezogen liegt dem seitens der Beschwerdeführerin im Verfahren vor der belangten Behörde geltend gemachten Verstoß gegen § 1 DSG die Behauptung zugrunde, der oder die Nutzer einer bestimmten Mobiltelefonnummer hätten ohne Wissen und Einwilligung der Beschwerdeführerin während eines näher umgrenzten Zeitraumes auf unerbetene Weise mehrere Personen telefonisch kontaktiert, sich im Zuge der Kontaktaufnahme als ein namhaftes Meinungsforschungsinstitut ausgegeben, um sodann Fragen in Bezug auf die Person der Beschwerdeführerin hinsichtlich einer (möglichen) Kandidatur für ein Bürgermeisteramt zu stellen. Da der Beschwerdeführerin die Identität des oder der Nutzer des in Rede stehenden Mobilfunkanschlusses naturgemäß unbekannt waren, konnte sie – über die Telefonnummer des Anrufers hinaus – keinerlei Angaben zum datenschutzrechtlich Verantwortlichen, dem Beschwerdegegner im Verfahren vor der Datenschutzbehörde im Sinne von § 24 Abs. 2 Z 2 DSG, machen. Folglich stellt sich die Frage, ob der belangten Behörde in deren Eigenschaft als

Art. 51

DSGVO eingerichtete nationale Aufsichtsbehörde rechtliche Möglichkeiten zur Verfügung stehen die es ihr ermöglichen, die Identität der Person oder Stelle zu ermitteln, der ein behaupteter Verstoß gegen die DSGVO oder das DSG zuzurechnen ist.3.2.2. Fallbezogen liegt dem seitens der Beschwerdeführerin im Verfahren vor der belangten Behörde geltend gemachten Verstoß gegen Paragraph eins, DSG die Behauptung zugrunde, der oder die Nutzer einer bestimmten Mobiltelefonnummer hätten ohne Wissen und Einwilligung der Beschwerdeführerin während eines näher umgrenzten Zeitraumes auf unerbetene Weise mehrere Personen telefonisch kontaktiert, sich im Zuge der Kontaktaufnahme als ein namhaftes Meinungsforschungsinstitut ausgegeben, um sodann Fragen in Bezug auf die Person der Beschwerdeführerin hinsichtlich einer (möglichen) Kandidatur für ein Bürgermeisteramt zu stellen. Da der Beschwerdeführerin die Identität des oder der Nutzer des in Rede stehenden Mobilfunkanschlusses naturgemäß unbekannt waren, konnte sie – über die Telefonnummer des Anrufers hinaus – keinerlei Angaben zum datenschutzrechtlich Verantwortlichen, dem Beschwerdegegner im Verfahren vor der Datenschutzbehörde im Sinne von Paragraph 24, Absatz 2, Ziffer 2, DSG, machen. Folglich stellt sich die Frage, ob der belangten Behörde in deren Eigenschaft als

Artikel 51

, DSGVO eingerichtete nationale Aufsichtsbehörde rechtliche Möglichkeiten zur Verfügung stehen die es ihr ermöglichen, die Identität der Person oder Stelle zu ermitteln, der ein behaupteter Verstoß gegen die DSGVO oder das DSG zuzurechnen ist. 3.2.3. Zum Verhältnis der Bestimmungen der DSGVO und dem TKG 2021:

Art 1Abs.

2 der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation), ABl. Nr. L 201 vom

Juli 2002, S 37, in der Fassung der Richtlinie 2009/136/EG, ABl. Nr. L 337 vom 18.12.2009, S. 11 - ePrivacy-RL) stellen die Bestimmungen dieser Richtlinie eine Detaillierung und Ergänzung der Richtlinie 95/46/EG im Hinblick auf die Gewährleistung des Schutzes der Grundrechte und Grundfreiheiten in Bezug auf die Verarbeitung personenbezogener Daten im Bereich der elektronischen Kommunikation sowie den freien Verkehr dieser Daten und von elektronischen Kommunikationsgeräten und -diensten in der Union dar. Insofern ist die ePrivacy-RL lex specialis zur DS-RL, an deren Stelle mit 25.05.2018 die DSGVO getreten ist. Art 95 DSGVO sieht eine beschränkte Vorrangregel für die ePrivacy-RL bzw. die österreichische Umsetzung dieser Richtlinie im TKG [2021] vor.3.2.
Zum Verhältnis der Bestimmungen der DSGVO und dem TKG 2021:

Artikel eins, Absatz 2, der Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation), ABl. Nr. L 201 vom

Juli 2002, S 37, in der Fassung der Richtlinie 2009/136/EG, Amtsblatt Nummer L 337 vom 18.12.2009, Seite 11 - ePrivacy-RL) stellen die Bestimmungen dieser Richtlinie eine Detaillierung und Ergänzung der Richtlinie 95/46/EG im Hinblick auf die Gewährleistung des Schutzes der Grundrechte und Grundfreiheiten in Bezug auf die Verarbeitung personenbezogener Daten im Bereich der elektronischen Kommunikation sowie den freien Verkehr dieser Daten und von elektronischen Kommunikationsgeräten und -diensten in der Union dar. Insofern ist die ePrivacy-RL lex specialis zur DS-RL, an deren Stelle mit 25.05.2018 die DSGVO getreten ist. Artikel 95, DSGVO sieht eine beschränkte Vorrangregel für die ePrivacy-RL bzw. die österreichische Umsetzung dieser Richtlinie im TKG [2021] vor. 3.2.
Bereits an dieser Stelle ist festzuhalten, dass dem Betreiber des Telekommunikationsdienstes, dessen Nutzer mit der oben bezeichneten Mobiltelefonnummer den behaupteten Datenschutzverstoß begangen haben soll, in der vorliegenden Fallkonstellation weder die Rolle des Verantwortlichen im Sinne von Art. 4 Z 7 DSGVO, noch die eines Auftragsverarbeiters im Sinne von Art. 4 Z 8 DSGVO, im Zusammenhang mit den unerwünschten Anrufen zukommt. Der Betreiber ist vielmehr für die Verarbeitung einschließlich der Übermittlung von personenbezogenen Daten in Verbindung mit der Bereitstellung öffentlicher Kommunikationsdienste in öffentlichen Kommunikationsnetzen, verantwortlich. In diesem Zusammenhang gelten für den Betreiber die spezifischen Vorgaben der §§ 160 ff TKG
Demgegenüber kommt einem Nutzer eines öffentlichen Kommunikationsdienstes, wie hier dem oder der Nutzer der in Rede stehenden Mobiltelefonnummer und der dazugehörenden Sim-Karte, die Rolle eines Verantwortlichen im Sinne von Art. 4 Z 7 DSGVO zu, wenn dieser unter Verwendung des Telekommunikationsdienstes personenbezogene Daten zu von ihm festgelegten Zwecken verarbeitet.3.2.
Bereits an dieser Stelle ist festzuhalten, dass dem Betreiber des Telekommunikationsdienstes, dessen Nutzer mit der oben bezeichneten Mobiltelefonnummer den behaupteten Datenschutzverstoß begangen haben soll, in der vorliegenden Fallkonstellation weder die Rolle des Verantwortlichen im Sinne von Artikel 4, Ziffer 7, DSGVO, noch die eines Auftragsverarbeiters im Sinne von Artikel 4, Ziffer 8, DSGVO, im Zusammenhang mit den unerwünschten Anrufen zukommt. Der Betreiber ist vielmehr für die Verarbeitung einschließlich der Übermittlung von personenbezogenen Daten in Verbindung mit der Bereitstellung öffentlicher Kommunikationsdienste in öffentlichen Kommunikationsnetzen, verantwortlich. In diesem Zusammenhang gelten für den Betreiber die spezifischen Vorgaben der Paragraphen 160, ff TKG
Demgegenüber kommt einem Nutzer eines öffentlichen Kommunikationsdienstes, wie hier dem oder der Nutzer der in Rede stehenden Mobiltelefonnummer und der dazugehörenden Sim-Karte, die Rolle eines Verantwortlichen im Sinne von Artikel 4, Ziffer 7, DSGVO zu, wenn dieser unter Verwendung des Telekommunikationsdienstes personenbezogene Daten zu von ihm festgelegten Zwecken verarbeitet. 3.2.
Um im vorliegenden Fall festzustellen, wem der behauptete Verstoß in datenschutzrechtlicher Hinsicht zuzurechnen wäre, sind die zu der benutzten Mobilfunknummer gehörenden Stammdaten im Sinne von § 160 Abs. 3 Z 5 TKG 2021 erforderlich. Bei diesen handelt es sich nach der Legaldefinition dieser Bestimmung um all jene Daten, die für die Begründung, die Abwicklung, Änderung oder Beendigung der Rechtsbeziehungen zwischen dem Benutzer und dem Anbieter oder zur Erstellung und Herausgabe von Nutzerverzeichnissen erforderlich sind, insbesondere um den Namen und die Adresse des Nutzers der Mobiltelefonnummer. Das TKG 2021 regelt in dessen § 165 Abs. 1 und Abs. 2 und 166 abschließend, zu welchen Zwecken Betreiber von Kommunikationsdiensten Stammdaten verarbeiten bzw. an Dritte übermitteln dürfen.3.2.
Um im vorliegenden Fall festzustellen, wem der behauptete Verstoß in datenschutzrechtlicher Hinsicht zuzurechnen wäre, sind die zu der benutzten Mobilfunknummer gehörenden Stammdaten im Sinne von Paragraph 160, Absatz 3, Ziffer 5, TKG 2021 erforderlich. Bei diesen handelt es sich nach der Legaldefinition dieser Bestimmung um all jene Daten, die für die Begründung, die Abwicklung, Änderung oder Beendigung der Rechtsbeziehungen zwischen dem Benutzer und dem Anbieter oder zur Erstellung und Herausgabe von Nutzerverzeichnissen erforderlich sind, insbesondere um den Namen und die Adresse des Nutzers der Mobiltelefonnummer. Das TKG 2021 regelt in dessen Paragraph 165, Absatz eins und Absatz 2 und 166 abschließend, zu welchen Zwecken Betreiber von Kommunikationsdiensten Stammdaten verarbeiten bzw. an Dritte übermitteln dürfen. 3.2.
In den Blick zu nehmen ist im gegebenen Zusammenhang die Bestimmung des § 181 Abs. 8 TKG 2021, wonach Netzbetreiber Verwaltungsbehörden auf deren schriftliches und begründetes Verlangen Auskunft über Stammdaten im Sinne von § 160 Abs. 3 Z 5 lit. a bis e und g von Nutzern zu erteilen haben, die in Verdacht stehen, durch eine über ein öffentliches Telekommunikationsnetz gesetzte Handlung eine Verwaltungsübertretung begangen zu haben, soweit dies ohne Verarbeitung von Verkehrsdaten möglich ist. Ausweislich der Gesetzesmaterialien entspricht diese Bestimmung weitestgehend der Vorgängerbestimmung in § 90 Abs. 6 TKG 2003 (vgl. EBRV, BlgNR 1043, XXVII. GP).3.2.
In den Blick zu nehmen ist im gegebenen Zusammenhang die Bestimmung des Paragraph 181, Absatz 8, TKG 2021, wonach Netzbetreiber Verwaltungsbehörden auf deren schriftliches und begründetes Verlangen Auskunft über Stammdaten im Sinne von Paragraph 160, Absatz 3, Ziffer 5, Litera a bis e und g von Nutzern zu erteilen haben, die in Verdacht stehen, durch eine über ein öffentliches Telekommunikationsnetz gesetzte Handlung eine Verwaltungsübertretung begangen zu haben, soweit dies ohne Verarbeitung von Verkehrsdaten möglich ist. Ausweislich der Gesetzesmaterialien entspricht diese Bestimmung weitestgehend der Vorgängerbestimmung in Paragraph 90, Absatz 6, TKG 2003 vergleiche EBRV, BlgNR 1043, römisch 27 . GP). 3.2.
Die Bestimmung des § 90 Abs. 6 TKG 2003 [jetzt § 181 Abs. 8 TKG 2021] statuiert Informationspflichten der Betreiber gegenüber Verwaltungsstrafbehörden bezüglich der Stammdaten tatverdächtiger Nutzer, ohne dabei auf bestimmte Verwaltungsbehörden beschränkt zu sein. Die Anforderung von Informationen

leg. cit. ist allerdings nur dann zulässig, wenn dies zur Präzisierung eines (aktuellen) verwaltungsstrafrechtlich relevanten Sachverhalts unabdingbar ist.3.2.7. Die Bestimmung des Paragraph 90, Absatz 6, TKG 2003 [jetzt Paragraph 181, Absatz 8, TKG 2021] statuiert Informationspflichten der Betreiber gegenüber Verwaltungsstrafbehörden bezüglich der Stammdaten tatverdächtiger Nutzer, ohne dabei auf bestimmte Verwaltungsbehörden beschränkt zu sein. Die Anforderung von Informationen

leg. cit. ist allerdings nur dann zulässig, wenn dies zur Präzisierung eines (aktuellen) verwaltungsstrafrechtlich relevanten Sachverhalts unabdingbar ist. 3.2.

In Bezug auf die Datenschutzbehörde ist zunächst festzuhalten, dass es sich bei dieser zwar jedenfalls um eine Verwaltungsstrafbehörde im Sinne der Bestimmung des § 181 Abs. 6 TKG 2021 handelt, diese ist als nationale Aufsichtsbehörde im Sinne von Art. 51 DSGVO eingerichtet; ihr obliegt im Rahmen ihrer Zuständigkeit die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen (§ 22 Abs. 5, 30 Abs. 1 und Abs. 2, 62 DSG, Art. 83 DSGVO).3.2.
In Bezug auf die Datenschutzbehörde ist zunächst festzuhalten, dass es sich bei dieser zwar jedenfalls um eine Verwaltungsstrafbehörde im Sinne der Bestimmung des Paragraph 181, Absatz 6, TKG 2021 handelt, diese ist als nationale Aufsichtsbehörde im Sinne von Artikel 51, DSGVO eingerichtet; ihr obliegt im Rahmen ihrer Zuständigkeit die Verhängung von Geldbußen gegenüber natürlichen und juristischen Personen (Paragraph 22, Absatz 5, 30, Absatz eins und Absatz 2, 62, DSG, Artikel 83, DSGVO). 3.2.
Fallbezogen ist jedoch fraglich, ob die Datenschutzbehörde im Zusammenhang mit der Prüfung der Datenschutzbeschwerde der Beschwerdeführerin, es handelte sich aufgrund des verfahrenseinleitenden Antrages der Beschwerdeführerin wegen einer behaupteten Verletzung im Recht auf Geheimhaltung

§ 1

DSG um ein Beschwerdeverfahren im Sinne von § 24 DSG – und nicht um ein Verwaltungsstrafverfahren –, zur Anforderung der Stammdaten im Sinne der Bestimmung des § 181 Abs. 8 TKG 2021 berechtigt war. Oder anders gewendet, ob der Betreiber verpflichtet war, die Stammdaten an die Datenschutzbehörde herauszugeben. 3.2.9. Fallbezogen ist jedoch fraglich, ob die Datenschutzbehörde im Zusammenhang mit der Prüfung der Datenschutzbeschwerde der Beschwerdeführerin, es handelte sich aufgrund des verfahrenseinleitenden Antrages der Beschwerdeführerin wegen einer behaupteten Verletzung im Recht auf Geheimhaltung

Paragraph eins, DSG um ein Beschwerdeverfahren im Sinne von Paragraph 24, DSG – und nicht um ein Verwaltungsstrafverfahren –, zur Anforderung der Stammdaten im Sinne der Bestimmung des Paragraph 181, Absatz 8, TKG 2021 berechtigt war. Oder anders gewendet, ob der Betreiber verpflichtet war, die Stammdaten an die Datenschutzbehörde herauszugeben. 3.2.

Aus Sicht des erkennenden Senates war dies für die vorliegende Fallkonstellation zu verneinen. Dies zunächst aufgrund der Tatsache, dass die Datenschutzbehörde bei der Führung des dem Ausgangsbescheid zugrundeliegenden Verwaltungsverfahrens nicht als Verwaltungsstrafbehörde tätig wurde. In einem Verfahren nach § 24 Abs. 1 DSG hat die Datenschutzbehörde nämlich zu prüfen, ob der Antragsteller (als datenschutzrechtlich Betroffener) durch die Verarbeitung seiner personenbezogenen Daten des Beschwerdegegners (als datenschutzrechtlich Verantwortlichem), im Recht auf Geheimhaltung nach § 1 DSG oder einem Betroffenenrecht im Sinne der DSGVO, verletzt wurde. Mit ihrem – fälschlich als „Amtshilfeersuchen“ titulierten Aufforderungsschreiben vom 19.07.2021 wies die Datenschutzbehörde auch darauf hin, dass in der gegenständlichen Rechtssache derzeit kein Verwaltungsstrafverfahren geführt werde. Als Rechtsgrundlage für die Herausgabe der betreffenden Stammdaten führte die Datenschutzbehörde zudem Art. 58 Abs. 1 lit a DSGVO an; diese Bestimmung normiert jedoch eine Untersuchungsbefugnis einem datenschutzrechtlich Verantwortlichen oder Auftragsverarbeiter gegenüber, „alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind“, wobei diese Rechtsgrundlage zur Begründung der Herausgabe der Stammdaten durch einen Betreiber eines Telekommunikationsdienstes jedenfalls ungeeignet ist. Wie bereits festgehalten, kommt dem Betreiber im gegebenen Zusammenhang weder die Rolle eines Verantwortlichen, noch die eines Auftragsverarbeiters zu.3.2.
Aus Sicht des erkennenden Senates war dies für die vorliegende Fallkonstellation zu verneinen. Dies zunächst aufgrund der Tatsache, dass die Datenschutzbehörde bei der Führung des dem Ausgangsbescheid zugrundeliegenden Verwaltungsverfahrens nicht als Verwaltungsstrafbehörde tätig wurde. In einem Verfahren nach Paragraph 24, Absatz eins, DSG hat die Datenschutzbehörde nämlich zu prüfen, ob der Antragsteller (als datenschutzrechtlich Betroffener) durch die Verarbeitung seiner personenbezogenen Daten des Beschwerdegegners (als datenschutzrechtlich Verantwortlichem), im Recht auf Geheimhaltung nach Paragraph eins, DSG oder einem Betroffenenrecht im Sinne der DSGVO, verletzt wurde. Mit ihrem – fälschlich als „Amtshilfeersuchen“ titulierten Aufforderungsschreiben vom 19.07.2021 wies die Datenschutzbehörde auch darauf hin, dass in der gegenständlichen Rechtssache derzeit kein Verwaltungsstrafverfahren geführt werde. Als Rechtsgrundlage für die Herausgabe der betreffenden Stammdaten führte die Datenschutzbehörde zudem Artikel 58, Absatz eins, Litera a, DSGVO an; diese Bestimmung normiert jedoch eine Untersuchungsbefugnis einem datenschutzrechtlich Verantwortlichen oder Auftragsverarbeiter gegenüber, „alle Informationen bereitzustellen, die für die Erfüllung ihrer Aufgaben erforderlich sind“, wobei diese Rechtsgrundlage zur Begründung der Herausgabe der Stammdaten durch einen Betreiber eines Telekommunikationsdienstes jedenfalls ungeeignet ist. Wie bereits festgehalten, kommt dem Betreiber im gegebenen Zusammenhang weder die Rolle eines Verantwortlichen, noch die eines Auftragsverarbeiters zu. 3.2.
Ein Verlangen

§ 181Abs.

8 TKG 2003 ist zudem den allgemeinen Anforderungen an Bescheide entsprechend (§§ 58 ff AVG), das heißt insbesondere ausreichend bestimmt auszugestalten und zu begründen. Im Auskunftsverlangen ist daher exakt abzugrenzen, welche Daten hinsichtlich welchen Zeitraums etc. bekannt zu geben sind. Zudem ist darzulegen, warum die Anforderung von Stammdaten im Anlassfall unabdingbar ist. Zudem ist exakt darzulegen, dass im Anlassfall der (hinreichend begründete) Verdacht besteht, dass ein Nutzer ein öffentliches Telekommunikationsnetz dazu genutzt hat, um darüber eine strafbare Verwaltungsübertretung zu begehen. Ein Auskunftsverlangen

§ 181

Abs 8 TKG 2021 setzt voraus, dass ein Verhalten unter Benutzung eines öffentlichen Telekommunikationsnetzes gesetzt wurde und zum Tatzeitpunkt verwaltungsbehördlich strafbar war. Fehlt es an dieser Voraussetzung zum Tatzeitpunkt bzw fällt ein Verhalten unter eine gerichtlich zu vollziehende Strafvorschrift, ist ein Vorgehen

§ 181Abs.

8 unzulässig (vgl. zur Vorgängerbestimmung in § 90 Abs. 6 TKG 2003 Kassai/Raschauer in Riesz/Schilchegger, Telekommunikationsgesetz [2016], zu § 90 TKG 2003, Rz 54ff).3.2.11. Ein Verlangen

Paragraph 181, Absatz 8, TKG 2003 ist zudem den allgemeinen Anforderungen an Bescheide entsprechend (Paragraphen 58, ff AVG), das heißt insbesondere ausreichend bestimmt auszugestalten und zu begründen. Im Auskunftsverlangen ist daher exakt abzugrenzen, welche Daten hinsichtlich welchen Zeitraums etc. bekannt zu geben sind. Zudem ist darzulegen, warum die Anforderung von Stammdaten im Anlassfall unabdingbar ist. Zudem ist exakt darzulegen, dass im Anlassfall der (hinreichend begründete) Verdacht besteht, dass ein Nutzer ein öffentliches Telekommunikationsnetz dazu genutzt hat, um darüber eine strafbare Verwaltungsübertretung zu begehen. Ein Auskunftsverlangen

Paragraph 181, Absatz 8, TKG 2021 setzt voraus, dass ein Verhalten unter Benutzung eines öffentlichen Telekommunikationsnetzes gesetzt wurde und zum Tatzeitpunkt verwaltungsbehördlich strafbar war. Fehlt es an dieser Voraussetzung zum Tatzeitpunkt bzw fällt ein Verhalten unter eine gerichtlich zu vollziehende Strafvorschrift, ist ein Vorgehen

Paragraph 181, Absatz 8, unzulässig vergleiche zur Vorgängerbestimmung in Paragraph 90, Absatz 6, TKG 2003 Kassai/Raschauer in Riesz/Schilchegger, Telekommunikationsgesetz [2016], zu Paragraph 90, TKG 2003, Rz 54ff). 3.2.

Dem Verwaltungsverfahren vor der Datenschutzbehörde lag demgegenüber der behauptete Sachverhalt zugrunde, der oder die Nutzer einer bestimmten Mobiltelefonnummer hätten im Wege von Telefonanrufen bei unbeteiligten Personen eine politische Meinungsumfrage – vorgeblich im Auftrag eines bekannten Meinungsforschungsinstituts – durchgeführt, wobei ohne die Zustimmung der Beschwerdeführerin deren Name als mögliche Kandidatin für ein Bürgermeisteramt verwendet worden sein soll. Aus Sicht des erkennenden Senates ist – bei Wahrunterstellung des Vorbringens – allein hieraus noch kein von der Datenschutzbehörde zu verfolgender Verdacht auf die Verwirklichung einer Verwaltungsübertretung ableitbar. Die – wenn auch unerbetene – Kontaktaufnahme und mündliche Verwendung eines Namens im Zusammenhang mit einer potenziellen Kandidatur für ein politisches Amt stellt für sich allein noch keine Verletzung im Recht auf Geheimhaltung im Sinne von § 1 Abs. 1 DSG dar. Dafür, dass der oder die Nutzer des in Rede stehenden Mobilfunkanschlusses personenbezogene Daten der Beschwerdeführerin – durch Benutzung des Telekommunikationsnetzes – verarbeitet haben, liegen aus Sicht des erkennenden Senates keinerlei Anhaltspunkte vor.3.2.
Dem Verwaltungsverfahren vor der Datenschutzbehörde lag demgegenüber der behauptete Sachverhalt zugrunde, der oder die Nutzer einer bestimmten Mobiltelefonnummer hätten im Wege von Telefonanrufen bei unbeteiligten Personen eine politische Meinungsumfrage – vorgeblich im Auftrag eines bekannten Meinungsforschungsinstituts – durchgeführt, wobei ohne die Zustimmung der Beschwerdeführerin deren Name als mögliche Kandidatin für ein Bürgermeisteramt verwendet worden sein soll. Aus Sicht des erkennenden Senates ist – bei Wahrunterstellung des Vorbringens – allein hieraus noch kein von der Datenschutzbehörde zu verfolgender Verdacht auf die Verwirklichung einer Verwaltungsübertretung ableitbar. Die – wenn auch unerbetene – Kontaktaufnahme und mündliche Verwendung eines Namens im Zusammenhang mit einer potenziellen Kandidatur für ein politisches Amt stellt für sich allein noch keine Verletzung im Recht auf Geheimhaltung im Sinne von Paragraph eins, Absatz eins, DSG dar. Dafür, dass der oder die Nutzer des in Rede stehenden Mobilfunkanschlusses personenbezogene Daten der Beschwerdeführerin – durch Benutzung des Telekommunikationsnetzes – verarbeitet haben, liegen aus Sicht des erkennenden Senates keinerlei Anhaltspunkte vor. 3.
Im Ergebnis ist daher festzuhalten, dass der belangten Behörde in der vorliegenden Fallkonstellation keine rechtlichen Möglichkeiten zur Verfügung standen, im Wege der Stammdaten zum in Rede stehenden Mobilfunkanschluss die Identität des für den im Rahmen der Datenschutzbeschwerde der Beschwerdeführerin behaupteten Verstoß des Verantwortlichen

Art. 4

Z 7 DSGVO (und Beschwerdegegner

§ 24Abs.

2 Z 2 DSG) zu ermitteln. Dies da – wie oben ausgeführt – eine Anforderung

§ 181Abs.

8 TKG 2021 in Ermangelung eines hinreichend konkreten Tatverdachtes auf Begehung einer von der Datenschutzbehörde zu ahndenden Verwaltungsübertretung nicht zulässig war; allgemein handelt es sich bei einem Verfahren nach § 24 DSG seiner Rechtsnatur nach nicht um ein Verwaltungsstrafverfahren, die Betreibergesellschaft hat die Herausgabe der Stammdaten daher zu Recht verweigert. Auch sämtliche in Art. 58 Abs. 1 DSGVO normierten Untersuchungsbefugnisse stellen keine taugliche Rechtsgrundlage dar, Stammdaten im Sinne von § 160 Abs. 3 Z 5 TKG 2021 von einer Betreibergesellschaft eines Telekommunikationsnetzes zu erlangen; sämtliche der dort genannten Untersuchungsbefugnisse richten sich gegen Verantwortliche oder Auftragsverarbeiter. Der Betreibergesellschaft kommt in der vorliegenden Konstellation keine dieser beiden datenschutzrechtlichen Rollen zu. Entgegen der Rechtsansicht der Beschwerdeführerin handelt es sich bei den in Rede stehenden Stammdaten nicht um ihre eigenen, sondern um diejenigen personenbezogenen Daten des oder der Nutzer des betreffenden Mobilfunkanschlusses; das Betroffenenrecht auf Auskunft im Sinne von Art. 15 DSGVO kommt daher zur Erwirkung der Herausgabe der Stammdaten ebenso nicht in Betracht.3.3. Im Ergebnis ist daher festzuhalten, dass der belangten Behörde in der vorliegenden Fallkonstellation keine rechtlichen Möglichkeiten zur Verfügung standen, im Wege der Stammdaten zum in Rede stehenden Mobilfunkanschluss die Identität des für den im Rahmen der Datenschutzbeschwerde der Beschwerdeführerin behaupteten Verstoß des Verantwortlichen

Artikel 4

, Ziffer 7, DSGVO (und Beschwerdegegner

Paragraph 24, Absatz 2, Ziffer 2, DSG) zu ermitteln. Dies da – wie oben ausgeführt – eine Anforderung

Paragraph 181, Absatz 8, TKG 2021 in Ermangelung eines hinreichend konkreten Tatverdachtes auf Begehung einer von der Datenschutzbehörde zu ahndenden Verwaltungsübertretung nicht zulässig war; allgemein handelt es sich bei einem Verfahren nach Paragraph 24, DSG seiner Rechtsnatur nach nicht um ein Verwaltungsstrafverfahren, die Betreibergesellschaft hat die Herausgabe der Stammdaten daher zu Recht verweigert. Auch sämtliche in Artikel 58, Absatz eins, DSGVO normierten Untersuchungsbefugnisse stellen keine taugliche Rechtsgrundlage dar, Stammdaten im Sinne von Paragraph 160, Absatz 3, Ziffer 5, TKG 2021 von einer Betreibergesellschaft eines Telekommunikationsnetzes zu erlangen; sämtliche der dort genannten Untersuchungsbefugnisse richten sich gegen Verantwortliche oder Auftragsverarbeiter. Der Betreibergesellschaft kommt in der vorliegenden Konstellation keine dieser beiden datenschutzrechtlichen Rollen zu. Entgegen der Rechtsansicht der Beschwerdeführerin handelt es sich bei den in Rede stehenden Stammdaten nicht um ihre eigenen, sondern um diejenigen personenbezogenen Daten des oder der Nutzer des betreffenden Mobilfunkanschlusses; das Betroffenenrecht auf Auskunft im Sinne von Artikel 15, DSGVO kommt daher zur Erwirkung der Herausgabe der Stammdaten ebenso nicht in Betracht. 3.4. Zum Entfall einer mündlichen Verhandlung: Im gegenständlichen Fall war von der Durchführung einer mündlichen Verhandlung keine weitere Klärung des Sachverhaltes zu erwarten, da die Beschwerdeführerin, wenn diese ein mangelhaftes Ermittlungsverfahren moniert übersieht, dass der belangten Behörde (und auch dem Bundesverwaltungsgericht) keine rechtlichen Möglichkeiten zur Verfügung stehen, die in Rede stehenden Stammdaten zu einer bestimmten Rufnummer von dem Telekommunikationsanbieter zu erlangen und so die Identität des – für die behauptete Geheimhaltungsverletzung – datenschutzrechtlich Verantwortlichen zu ermitteln. Da somit ausschließlich Rechtsfragen zu klären gewesen sind, konnte von der Durchführung einer mündlichen Verhandlung

§ 24Abs. 4 Vw

GVG abgesehen werden (vgl. VwGH vom 14.06.2022, Ra 2020/04/0122).Im gegenständlichen Fall war von der Durchführung einer mündlichen Verhandlung keine weitere Klärung des Sachverhaltes zu erwarten, da die Beschwerdeführerin, wenn diese ein mangelhaftes Ermittlungsverfahren moniert übersieht, dass der belangten Behörde (und auch dem Bundesverwaltungsgericht) keine rechtlichen Möglichkeiten zur Verfügung stehen, die in Rede stehenden Stammdaten zu einer bestimmten Rufnummer von dem Telekommunikationsanbieter zu erlangen und so die Identität des – für die behauptete Geheimhaltungsverletzung – datenschutzrechtlich Verantwortlichen zu ermitteln. Da somit ausschließlich Rechtsfragen zu klären gewesen sind, konnte von der Durchführung einer mündlichen Verhandlung

Paragraph 24, Absatz 4, VwGVG abgesehen werden vergleiche VwGH vom 14.06.2022, Ra 2020/04/0122). Es war daher spruchgemäß zu entscheiden. Zu B) 3.5. Unzulässigkeit der Revision:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinausgehende – Bedeutung zukommt.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinausgehende – Bedeutung zukommt. Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt keine Rechtsfrage von grundsätzlicher Bedeutung iSd Art 133 Abs. 4 B-VG vor, und zwar selbst dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen ist (VwGH

2020, Ra 2018/04/0157).Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt keine Rechtsfrage von grundsätzlicher Bedeutung iSd Artikel 133, Absatz 4, B-VG vor, und zwar selbst dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen ist (VwGH
2020, Ra 2018/04/0157). Zwar liegt zur Frage, ob der Datenschutzbehörde im Rahmen ihrer Zuständigkeiten nach § 24 Abs. 1 DSG die rechtliche Möglichkeit zukommt, im Wege einer Anforderung

§ 181Abs.

8 TKG 2021 die Herausgabe von Stammdaten im Sinne von § 160 Abs. 3 Z 5 TKG 2021 zu erwirken, keine Rechtsprechung des Verwaltungsgerichtshofes vor. Jedoch ist die Rechtslage zu § 181 Abs. 8 TKG 2021 klar und eindeutig in Bezug darauf, dass die dort normierte Anforderung von Stammdaten nur im Rahmen eines Verwaltungsstrafverfahrens, in Rahmen dessen ein hinreichend bestimmter Tatverdacht auf Verwirklichung einer von der zuständigen Verwaltungsstrafbehörde zu ahndenden Verwaltungsübertretung besteht, zulässig ist.Zwar liegt zur Frage, ob der Datenschutzbehörde im Rahmen ihrer Zuständigkeiten nach Paragraph 24, Absatz eins, DSG die rechtliche Möglichkeit zukommt, im Wege einer Anforderung

Paragraph 181, Absatz 8, TKG 2021 die Herausgabe von Stammdaten im Sinne von Paragraph 160, Absatz 3, Ziffer 5, TKG 2021 zu erwirken, keine Rechtsprechung des Verwaltungsgerichtshofes vor. Jedoch ist die Rechtslage zu Paragraph 181, Absatz 8, TKG 2021 klar und eindeutig in Bezug darauf, dass die dort normierte Anforderung von Stammdaten nur im Rahmen eines Verwaltungsstrafverfahrens, in Rahmen dessen ein hinreichend bestimmter Tatverdacht auf Verwirklichung einer von der zuständigen Verwaltungsstrafbehörde zu ahndenden Verwaltungsübertretung besteht, zulässig ist. European Case Law IdentifierECLI:AT:BVWG:2023:W292.2250876.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.