RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum12.05.2023 GeschäftszahlW245 2252208-1 Spruch, W245 2252208-1/36E W245 2252221-1/30E Schriftliche Ausfertigung des am 31.03.2023 mündlich

für XXXX -Dienste (einschließlich XXXX -Analytics) eingebettet gehabt. Begründend führte der BF1 aus, dass er am 14.08.2020, um 10:45 Uhr die Website der MB römisch 40 besucht habe. Während des Besuchs der Website der MB sei der BF1 auf einem römisch 40 -Konto eingeloggt gewesen. Dieses Konto sei mit der E-Mail-Adresse des BF1 ( römisch 40 verknüpft gewesen. Die MB habe auf ihrer Website den HTML-

für römisch 40 -Dienste (einschließlich römisch 40 -Analytics) eingebettet gehabt. Im Verlauf des Besuchs auf der Website der MB habe der BF1 personenbezogene Daten des BF1 (zumindest die IP-Adresse des BF1 und Cookie Daten) verarbeitet. Offenbar seien diese an die BF2 übermittelt worden (VWA ./04). Gemäß Punkt 10 der Auftragsdatenverarbeitungsbedingungen habe die MB zugestimmt, dass die BF2 personenbezogene Daten des BF1 in den Vereinigten Staaten von Amerika oder in einem anderen Land, in dem XXXX oder XXXX Unterauftragsverarbeiter Einrichtungen unterhalte, speichern und verarbeiten könne. Eine solche Übertragung der personenbezogenen Daten des BF1 von der MB an die BF2 erfordere eine Rechtsgrundlage gemäß Art. 44 ff DSGVO.Gemäß Punkt 10 der Auftragsdatenverarbeitungsbedingungen habe die MB zugestimmt, dass die BF2 personenbezogene Daten des BF1 in den Vereinigten Staaten von Amerika oder in einem anderen Land, in dem römisch 40 oder römisch 40 Unterauftragsverarbeiter Einrichtungen unterhalte, speichern und verarbeiten könne. Eine solche Übertragung der personenbezogenen Daten des BF1 von der MB an die BF2 erfordere eine Rechtsgrundlage gemäß Artikel 44, ff DSGVO. Nachdem der Europäische Gerichtshof das „EU-US Privacy Shield“ mit der Entscheidung vom 16.07.2020, C-311/18 (Schrems II) für ungültig erklärt habe, könne die MB die Datenübermittlung an die BF2 in die Vereinigten Staaten nicht mehr auf eine Angemessenheitsentscheidung nach Art. 45 DSGVO stützen. Dennoch hätten sich die MB und die BF2 nach dem Urteil noch fast vier Wochen auf das für ungültig erklärte „EU-US Privacy Shield“ berufen. Dies könne man aus Punkt 10.2 der Auftragsdatenverarbeitungsbedingungen für XXXX Werbeprodukte, Version 01.01.2020 entnehmen (VWA ./03).Nachdem der Europäische Gerichtshof das „EU-US Privacy Shield“ mit der Entscheidung vom 16.07.2020, C-311/18 (Schrems römisch zwei) für ungültig erklärt habe, könne die MB die Datenübermittlung an die BF2 in die Vereinigten Staaten nicht mehr auf eine Angemessenheitsentscheidung nach Artikel 45, DSGVO stützen. Dennoch hätten sich die MB und die BF2 nach dem Urteil noch fast vier Wochen auf das für ungültig erklärte „EU-US Privacy Shield“ berufen. Dies könne man aus Punkt 10.2 der Auftragsdatenverarbeitungsbedingungen für römisch 40 Werbeprodukte, Version 01.01.2020 entnehmen (VWA ./03). Außerdem könne die MB die Datenübermittlung auch nicht auf Standarddatenschutzklauseln gemäß Art. 46 Abs. 2 lit. c und d DSGVO stützen, wenn das Bestimmungsdrittland nach Maßgabe des Unionsrechts keinen angemessenen Schutz der auf der Grundlage von Standarddatenschutzklauseln übermittelten personenbezogenen Daten gewährleiste (EuGH 16.07.2020, C-311/18 (Schrems II), Rn 134 f). Der EuGH habe ausdrücklich festgehalten, dass weitere Übermittlungen an Unternehmen, welche unter 50 U.S.

§ 1881a

fallen, nicht nur gegen die einschlägigen Artikeln in Kapitel V DSGVO, sondern auch gegen Art. 7 und 8 GRC verstoßen sowie den Wesensgehalt von Art. 47 GRC verletzen würden (EuGH 06.10.2015, C-362/14 (Schrems), Rn 95). Jede weitere Übermittlung verstoße daher gegen das Grundrecht auf Privatsphäre und auf Datenschutz sowie das Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren. Außerdem könne die MB die Datenübermittlung auch nicht auf Standarddatenschutzklauseln gemäß Artikel 46, Absatz 2, Litera c und d DSGVO stützen, wenn das Bestimmungsdrittland nach Maßgabe des Unionsrechts keinen angemessenen Schutz der auf der Grundlage von Standarddatenschutzklauseln übermittelten personenbezogenen Daten gewährleiste (EuGH 16.07.2020, C-311/18 (Schrems römisch zwei), Rn 134 f). Der EuGH habe ausdrücklich festgehalten, dass weitere Übermittlungen an Unternehmen, welche unter 50 U.S.

Paragraph 1881 a, fallen, nicht nur gegen die einschlägigen Artikeln in Kapitel römisch fünf DSGVO, sondern auch gegen Artikel 7 und 8 GRC verstoßen sowie den Wesensgehalt von Artikel 47, GRC verletzen würden (EuGH 06.10.2015, C-362/14 (Schrems), Rn 95). Jede weitere Übermittlung verstoße daher gegen das Grundrecht auf Privatsphäre und auf Datenschutz sowie das Recht auf einen wirksamen Rechtsbehelf und ein faires Verfahren. Die BF2 sei als Anbieter elektronischer Kommunikationsdienste im Sinne von 50 U.S.

§ 1881a(b)

(49)zu qualifizieren und unterliege als solcher der Überwachung durch US-Geheimdienste gemäß 50 U.S.

§ 1881a

(„FISA 702“): Wie aus den „ XXXX “ (VWA ./06) und aus dem Transparenzbericht der BF2 (siehe XXXX hervorgehe, stelle die BF2 der US-Regierung gemäß 50 U.S.

§ 1881aaktiv personenbezogene Daten zur Verfügung.

Vor diesem Hintergrund sei die MB nicht in der Lage, einen angemessenen Schutz der personenbezogenen Daten des BF1, welche an die BF2 übermittelt werden, zu gewährleisten. Die BF2 sei als Anbieter elektronischer Kommunikationsdienste im Sinne von 50 U.S.

Paragraph 1881 a, (b)

(49)zu qualifizieren und unterliege als solcher der Überwachung durch US-Geheimdienste gemäß 50 U.S.

Paragraph 1881 a, („FISA 702“): Wie aus den „ römisch 40 “ (VWA ./06) und aus dem Transparenzbericht der BF2 (siehe römisch 40 hervorgehe, stelle die BF2 der US-Regierung gemäß 50 U.S.

Paragraph 1881 a, aktiv personenbezogene Daten zur Verfügung. Vor diesem Hintergrund sei die MB nicht in der Lage, einen angemessenen Schutz der personenbezogenen Daten des BF1, welche an die BF2 übermittelt werden, zu gewährleisten. Ab 12.08.2020 haben sich die MB und die BF2 bei Datenübermittlungen in die Vereinigten Staaten auf Standdatenschutzklauseln berufen. Dies könne man Punkt 10.2 der Auftragsdatenverarbeitungsbedingungen für XXXX Werbeprodukte, Version 12.08.2020, entnehmen (VWA ./04). Diese Vorgangsweise ignoriere jedoch das Urteil des Europäischen Gerichtshofes (EuGH 16.07.2020, C-311/18 (Schrems II), Rn 134 f). Demnach sei die MB verpflichtet, die Übermittlung von personenbezogenen Daten an die BF2 in den Vereinigten Staaten zu unterlassen. Ab 12.08.2020 haben sich die MB und die BF2 bei Datenübermittlungen in die Vereinigten Staaten auf Standdatenschutzklauseln berufen. Dies könne man Punkt 10.2 der Auftragsdatenverarbeitungsbedingungen für römisch 40 Werbeprodukte, Version 12.08.2020, entnehmen (VWA ./04). Diese Vorgangsweise ignoriere jedoch das Urteil des Europäischen Gerichtshofes (EuGH 16.07.2020, C-311/18 (Schrems römisch zwei), Rn 134 f). Demnach sei die MB verpflichtet, die Übermittlung von personenbezogenen Daten an die BF2 in den Vereinigten Staaten zu unterlassen. Schließlich akzeptiere die BF2 trotz des eindeutigen Urteils des Europäischen Gerichtshofes und unter Verletzung der Art. 44 bis 49 DSGVO weiterhin Datenübermittlungen aus der EU/EWR im Rahmen der Datenschutzklauseln. Darüber hinaus gebe die BF2 personenbezogene Daten aus der EU/EWR an die US-Regierung weiter und verstoße damit gegen Art. 48 DSGVO.Schließlich akzeptiere die BF2 trotz des eindeutigen Urteils des Europäischen Gerichtshofes und unter Verletzung der Artikel 44 bis 49 DSGVO weiterhin Datenübermittlungen aus der EU/EWR im Rahmen der Datenschutzklauseln. Darüber hinaus gebe die BF2 personenbezogene Daten aus der EU/EWR an die US-Regierung weiter und verstoße damit gegen Artikel 48, DSGVO. Der BF1 beantragte gemäß Art. 58 Abs. 1 DSGVO, dass festgestellt werde, welche personenbezogenen Daten von der MB an die BF2 in die Vereinigten Staaten oder an ein anders Drittland oder eine internationale Organisation übermittelt worden seien, auf welchen Übermittlungsmechanismus gemäß Art. 44 ff DSGVO die MB die Datenübermittlung gestützt habe und ob die Bestimmungen der anwendbaren Nutzungsbedingungen für XXXX -Analytics und der (neuen) Auftragsdatenverarbeitungsbedingungen für XXXX Werbeprodukte die Anforderungen von Art. 28 DSGVO in Bezug auf die Übermittlung personenbezogener Daten erfüllen oder nicht. Der BF1 beantragte gemäß Artikel 58, Absatz eins, DSGVO, dass festgestellt werde, welche personenbezogenen Daten von der MB an die BF2 in die Vereinigten Staaten oder an ein anders Drittland oder eine internationale Organisation übermittelt worden seien, auf welchen Übermittlungsmechanismus gemäß Artikel 44, ff DSGVO die MB die Datenübermittlung gestützt habe und ob die Bestimmungen der anwendbaren Nutzungsbedingungen für römisch 40 -Analytics und der (neuen) Auftragsdatenverarbeitungsbedingungen für römisch 40 Werbeprodukte die Anforderungen von Artikel 28, DSGVO in Bezug auf die Übermittlung personenbezogener Daten erfüllen oder nicht. Ferner beantragte der BF1 das gemäß Art. 58 Abs. 2 lit. d, f und j DSGVO unverzüglich ein Verbot oder eine Aussetzung jeglicher Datenübermittlung von der MB an die BF2 in die Vereinigten Staaten verhängt sowie die Rückgabe dieser Daten an die EU/EWR oder ein anderes Land, das einen angemessenen Schutz gewährleiste, angeordnet werde.Ferner beantragte der BF1 das gemäß Artikel 58, Absatz 2, Litera d, f und j DSGVO unverzüglich ein Verbot oder eine Aussetzung jeglicher Datenübermittlung von der MB an die BF2 in die Vereinigten Staaten verhängt sowie die Rückgabe dieser Daten an die EU/EWR oder ein anderes Land, das einen angemessenen Schutz gewährleiste, angeordnet werde. Schließlich beantragte der BF1 die Verhängung einer wirksamen, verhältnismäßigen und abschreckenden Geldbuße gegen die MB und die BF

Seiner Beschwerde an die bB legte der BF1 Nutzungsbedingungen für XXXX -Analytics (VWA ./02, siehe Punkt II.2), die Auftragsdatenverarbeitungsbedingungen für XXXX Werbeprodukte, Version 01.01.2020 (VWA ./03, siehe Punkt II.2), die Auftragsdatenverarbeitungsbedingungen für XXXX Werbeprodukte, Version 12.08.2020 (VWA ./04, siehe Punkt II.2), die HAR-Daten des Website-Besuchs (VWA ./05, siehe Punkt II.2), die XXXX (VWA ./06, siehe Punkt II.2) sowie eine Vertretungsurkunde (VWA ./07, siehe Punkt II.2) bei.Seiner Beschwerde an die bB legte der BF1 Nutzungsbedingungen für römisch 40 -Analytics (VWA ./02, siehe Punkt römisch zwei.2), die Auftragsdatenverarbeitungsbedingungen für römisch 40 Werbeprodukte, Version 01.01.2020 (VWA ./03, siehe Punkt römisch zwei.2), die Auftragsdatenverarbeitungsbedingungen für römisch 40 Werbeprodukte, Version 12.08.2020 (VWA ./04, siehe Punkt römisch zwei.2), die HAR-Daten des Website-Besuchs (VWA ./05, siehe Punkt römisch zwei.2), die römisch 40 (VWA ./06, siehe Punkt römisch zwei.2) sowie eine Vertretungsurkunde (VWA ./07, siehe Punkt römisch zwei.2) bei. I.
In der Folge setzte die bB das Verfahren bis zur Feststellung der federführenden Aufsichtsbehörde und bis zur Entscheidung der federführenden Aufsichtsbehörde bzw. des Europäischen Datenschutzausschusses mit Bescheid vom 02.10.2020, Zl 2020-0.527.385 (DSB-D155.027) aus (VWA ./08 und ./09, siehe Punkt II.2). Ferner forderte die bB die MB zur Stellungnahme auf (VWA ./10, siehe Punkt II.2). römisch eins.
In der Folge setzte die bB das Verfahren bis zur Feststellung der federführenden Aufsichtsbehörde und bis zur Entscheidung der federführenden Aufsichtsbehörde bzw. des Europäischen Datenschutzausschusses mit Bescheid vom 02.10.2020, Zl 2020-0.527.385 (DSB-D155.027) aus (VWA ./08 und ./09, siehe Punkt römisch zwei.2). Ferner forderte die bB die MB zur Stellungnahme auf (VWA ./10, siehe Punkt römisch zwei.2). I.
In der Stellungnahme vom 16.12.2020 führte die MB aus (VWA ./11, siehe Punkt II.2), dass sie sich selbst dafür entschieden habe, den Programmcode für XXXX -Analytics (in der Folge auch „Tool“ genannt) auf ihrer XXXX einzubetten. Das Tool werde dafür eingesetzt, um statistische Auswertungen über das Verhalten der Websitebesucher zu ermöglichen (siehe Punkt II.1.8), um den Content der Website nach den allgemeinen Themeninteressen anzupassen. Da die Auswertung anonymisiert durchgeführt werde, könne mit Hilfe des Tools der Content nicht an den konkreten Websiteuser angepasst werden. Auf Basis der Websitenutzung und Artikel-Aufrufe anonymer User erhalte die MB eine aggregierte statistische Auswertung.römisch eins.
In der Stellungnahme vom 16.12.2020 führte die MB aus (VWA ./11, siehe Punkt römisch zwei.2), dass sie sich selbst dafür entschieden habe, den Programmcode für römisch 40 -Analytics (in der Folge auch „Tool“ genannt) auf ihrer römisch 40 einzubetten. Das Tool werde dafür eingesetzt, um statistische Auswertungen über das Verhalten der Websitebesucher zu ermöglichen (siehe Punkt römisch zwei.1.8), um den Content der Website nach den allgemeinen Themeninteressen anzupassen. Da die Auswertung anonymisiert durchgeführt werde, könne mit Hilfe des Tools der Content nicht an den konkreten Websiteuser angepasst werden. Auf Basis der Websitenutzung und Artikel-Aufrufe anonymer User erhalte die MB eine aggregierte statistische Auswertung. Da für die allgemeine Nutzerstatistik und den bereits ausgeführten Zweck kein Personenbezug erforderlich sei, habe die MB sich bewusst zu der Einbettung der anonymisierten Variante entschlossen. Aus dem nach wie vor eingebetteten

sei ersichtlich, dass die Funktion „anonymizeIp“ auf „true“ gesetzt worden sei. Daher verarbeite das Tool lediglich anonyme Daten. Dabei würden bei Nutzer-IP-Adressen vom Typ IPv4 das letzte Oktett und bei IPV6-Adressen die letzten 80 der 128 Bits im Speicher auf null gesetzt werden. Damit finde noch vor Speicherung oder Übermittlung der Daten eine Anonymisierung statt. Daher sei ein Zugriff auf personenbezogene Daten durch die BF2 in den Vereinigten Staaten demnach nicht möglich. Neben anonymisierte IP-Adressen verarbeite das Tool den User Agent String. Der User Agent String diene dazu, dem Server mitzuteilen, mit welcher Systemspezifikation der User auf den Server zugreife. Dabei würden ohne Personenbezug nur das Gerät, das Betriebssystem, die Betriebssystem Version, der Browser, die Browser Version und der Gerätetyp angezeigt werden. Da diese Informationen mangels personenbezogener IP-Adresse oder sonstigem Identifer keinem bestimmbaren User zuordenbar seien, würden keine personenbezogenen Daten vorliegen. Da die Anonymisierung bereits im Arbeitsspeicher des jeweiligen Webseitenbenutzers stattfinde, erfolge keine Verarbeitung auf Servern der BF2 und sohin nicht in einem Drittland außerhalb der EU. Noch bevor das Cookie final gesetzt werde, finde der Anonymisierungsvorgang der IP-Adresse statt. Erst ab diesem Zeitpunkt würden die statistischen Informationen rund um die Websitenutzung über den jeweiligen – nun anonymisierten – Cookie erhoben werden. Die erhobenen Auswertungen würden dementsprechend erst mit den anonymen Daten durchgeführt werden und könnten daher gar keiner Person zugeordnet werden. Auf den dargestellten Vorgang – nämlich die Erhebung und die Auswertung von bloß anonymen Daten und Informationen – fänden mangels Personenbezug weder die DSGVO noch DSG Anwendung. Demnach sei eine Einwilligung eines Websitenutzers nicht erforderlich. Der konkrete Anonymisierungsvorgang greife initial auf die IP-Adresse zu, um diese sofort zu anonymisieren. Diese erforderliche erstmalige Erfassung der IP-Adresse erfolge jedoch unabhängig vom Einsatz von XXXX -Analytics und sei auch abseits davon stets für die Funktionsweise zwingend erforderlich. Diese Erhebung erfolge nicht zum Zwecke der MB (siehe Punkt II.1.8), sondern zwangsläufig bei jeder im Internet aufrufbaren Website. Dieser erfolge somit, wie bei jeder anderen Website auch, aufgrund von berechtigten Interesse am Betrieb einer funktionierenden, benutzerfreundlichen und sicheren Website nach Art. 6 Abs. 1 lit. f DSGVO. Der konkrete Anonymisierungsvorgang greife initial auf die IP-Adresse zu, um diese sofort zu anonymisieren. Diese erforderliche erstmalige Erfassung der IP-Adresse erfolge jedoch unabhängig vom Einsatz von römisch 40 -Analytics und sei auch abseits davon stets für die Funktionsweise zwingend erforderlich. Diese Erhebung erfolge nicht zum Zwecke der MB (siehe Punkt römisch zwei.1.8), sondern zwangsläufig bei jeder im Internet aufrufbaren Website. Dieser erfolge somit, wie bei jeder anderen Website auch, aufgrund von berechtigten Interesse am Betrieb einer funktionierenden, benutzerfreundlichen und sicheren Website nach Artikel 6, Absatz eins, Litera f, DSGVO. Die BF2 verarbeite die Daten im Auftrag und auf Weisung der MB. Die MB nehme die Rolle des Verantwortlichen, die BF2 nehme die Rolle des Auftragsverarbeiters wahr. Die MB habe weitgehende Entscheidungsmacht über die Mittel der Verarbeitung. Sie entscheide initial darüber, ob sie das Tool überhaupt einbetten wolle und sie habe auch die Möglichkeit, die Einstellungen des Tools an die Bedürfnisse und die Zwecke der Verarbeitung zu bestimmen oder nach Bedarf zu ändern. Ferner bestimme die MB die Speicherdauer (26 Monate) sowie das Schicksal der Daten nach Vertragsbeendigung. Zu Absicherung etwaiger zukünftiger, derzeit gerade nicht stattfindenden, Übermittlungen personenbezogener Daten habe die MB daher eine Auftragsdatenverarbeitungsvereinbarung mit der BF2 abgeschlossen (siehe VWA ./16). Nach dem Urteil des Europäischen Gerichtshofes vom 16.07.2020, C-311/18 (Schrems II) habe die MB die Einstellungen des Tools überprüft und sich versichert, dass die bisher datenschutzfreundliche Implementierung durch Anonymisierung der IP-Adressen weiterhin aktiv sei. Daher sei das Urteil des EuGHs nicht auf das Vertragsverhältnis zwischen der MB und der BF2 anwendbar. Um jedoch auch für eine etwaige Überlassung von personenbezogenen Daten an die BF2 Vorkehrungen zu treffen, habe die MB mit der BF2 vorsorglich eine Auftragsverarbeitervereinbarung am 12.08.2020 abgeschlossen (siehe VWA ./16) und Standardschutzklauseln einbezogen (siehe VWA ./22). Hinsichtlich der Standardschutzklauseln habe die MB keine proaktive Überprüfung vorgenommen. Dies deshalb, weil aufgrund der Übermittlung von anonymisierten IP-Adressen eine Übermittlung von personenbezogenen Daten nicht erfolge. Schließlich ergäben sich aus der Verarbeitung von anonymen Daten, die in der Folge nur für allgemeine Statistiken ausgewertet werden, keine Risiken. Nach dem Urteil des Europäischen Gerichtshofes vom 16.07.2020, C-311/18 (Schrems römisch zwei) habe die MB die Einstellungen des Tools überprüft und sich versichert, dass die bisher datenschutzfreundliche Implementierung durch Anonymisierung der IP-Adressen weiterhin aktiv sei. Daher sei das Urteil des EuGHs nicht auf das Vertragsverhältnis zwischen der MB und der BF2 anwendbar. Um jedoch auch für eine etwaige Überlassung von personenbezogenen Daten an die BF2 Vorkehrungen zu treffen, habe die MB mit der BF2 vorsorglich eine Auftragsverarbeitervereinbarung am 12.08.2020 abgeschlossen (siehe VWA ./16) und Standardschutzklauseln einbezogen (siehe VWA ./22). Hinsichtlich der Standardschutzklauseln habe die MB keine proaktive Überprüfung vorgenommen. Dies deshalb, weil aufgrund der Übermittlung von anonymisierten IP-Adressen eine Übermittlung von personenbezogenen Daten nicht erfolge. Schließlich ergäben sich aus der Verarbeitung von anonymen Daten, die in der Folge nur für allgemeine Statistiken ausgewertet werden, keine Risiken. Auch habe die BF2 weitere technische und organisatorische Maßnahmen gesetzt (keine Backdoor-Zugriffe für Behörden, Informationspflichten der BF2 gegenüber Verantwortlichen, wenn ein Ersuchen einer zuständigen Behörde eintrifft, Veröffentlichung von Transparenzberichten, Prüfung von Auskunftsersuchen und Rechtsmittel), um ein hohes Datenschutzniveau für die über das Tool verarbeitete Daten zu bieten. Ihrer Stellungnahme (VWA ./11) an die bB legte die MB Berichte aus dem Tool (VWA ./12, siehe Punkt II.2), Informationen zur IP-Anonymisierung (VWA ./13, siehe Punkt II.2), Screenshot zur eingestellten Speicherdauer (VWA ./14, siehe Punkt II.2), Liste der Serverstandorte (VWA ./15, siehe Punkt II.2), Auftragsdatenverarbeitungsbedingungen für XXXX Werbeprodukte, Version 16.08.2020 (VWA ./16, siehe Punkt II.2), Auftragsdatenverarbeitungsbedingungen für XXXX Werbeprodukte, Version 12.08.2020 (VWA ./17, siehe Punkt II.2), Auftragsdatenverarbeitungsbedingungen für XXXX Werbeprodukte, Version 01.01.2020 (VWA ./18, siehe Punkt II.2), Vergleichsversion AVV vom 01.01.2020 vs 12.08.2020 (VWA ./19, siehe Punkt II.2), Vergleichsversion AVV vom 12.08.2020 vs 16.08.2020 (VWA ./20, siehe Punkt II.2), Screenshot zu Einstellungen (VWA ./21, siehe Punkt II.2), Standarddatenschutzklauseln (VWA ./22, siehe Punkt II.2), Informationen zu Sicherheitsmaßnahmen (VWA ./23, siehe Punkt II.2) und ein Verarbeitungsblatt zu XXXX Analytics (VWA ./24, siehe Punkt II.2) bei.Ihrer Stellungnahme (VWA ./11) an die bB legte die MB Berichte aus dem Tool (VWA ./12, siehe Punkt römisch zwei.2), Informationen zur IP-Anonymisierung (VWA ./13, siehe Punkt römisch zwei.2), Screenshot zur eingestellten Speicherdauer (VWA ./14, siehe Punkt römisch zwei.2), Liste der Serverstandorte (VWA ./15, siehe Punkt römisch zwei.2), Auftragsdatenverarbeitungsbedingungen für römisch 40 Werbeprodukte, Version 16.08.2020 (VWA ./16, siehe Punkt römisch zwei.2), Auftragsdatenverarbeitungsbedingungen für römisch 40 Werbeprodukte, Version 12.08.2020 (VWA ./17, siehe Punkt römisch zwei.2), Auftragsdatenverarbeitungsbedingungen für römisch 40 Werbeprodukte, Version 01.01.2020 (VWA ./18, siehe Punkt römisch zwei.2), Vergleichsversion AVV vom 01.01.2020 vs 12.08.2020 (VWA ./19, siehe Punkt römisch zwei.2), Vergleichsversion AVV vom 12.08.2020 vs 16.08.2020 (VWA ./20, siehe Punkt römisch zwei.2), Screenshot zu Einstellungen (VWA ./21, siehe Punkt römisch zwei.2), Standarddatenschutzklauseln (VWA ./22, siehe Punkt römisch zwei.2), Informationen zu Sicherheitsmaßnahmen (VWA ./23, siehe Punkt römisch zwei.2) und ein Verarbeitungsblatt zu römisch 40 Analytics (VWA ./24, siehe Punkt römisch zwei.2) bei. I.4. Nach Aufforderung der bB vom 22.01.2021 (VWA ./25, siehe Punkt II.2) gab der BF1 in der Folge eine Stellungnahme (VWA ./26, siehe Punkt II.2) ab. Darin erklärte er, obwohl im

die Funktion „anonymizeIP“ auf „true“ gesetzt worden sei, dies nicht zur Folge habe, dass eine anonymisierte IP-Adresse übermittelt worden sei. Dies sei bei Datentransfers im World Wide Web technisch unmöglich. Unter Verweis auf Ausführungen der BF2 führte der BF1 aus, dass die IP-Adresse erst nachdem sie im Analytics-Datenerfassungsnetzwerk eingehen, anonymisiert oder maskiert werde, bevor sie gespeichert oder verarbeitet werden würden. Zudem verwies der BF1 darauf, dass er zum Zeitpunkt des Website-Besuches in sein privates römisch 40 -Konto eingeloggt gewesen sei und auch Cookie-Daten (_ga, __gads, _gid, _gat, _gat_UA-259349-11, _gat_UA-259349-1) übertragen worden seien. Im Ergebnis sei also entgegen den Ausführungen der MB, klar, dass personenbezogenen Daten (wie Cookies und IP-Adressen) verarbeitet und an die BF2 in die Vereinigten Staaten übermittelt worden seien. Zudem seien bei einem Auftragsverarbeiter in einem Drittland ein Bruch der Anonymisierung nicht durchsetzbar oder feststellbar. Anhand der Sender-IP-Adresse sei im Lichte der Judikatur des Europäischen Gerichtshofes (EuGH 19.10.2016, C-582/14 (Breyer)) jedenfalls von einer Zuordenbarkeit zu einer bestimmten natürlichen Person auszugehen. Um eine Verletzung der Art. 44 ff DSGVO zu verhindern, sei eine gänzliche Entfernung des Tools notwendig und ein Wechsel zu einem anderen Tool, das keine Datenübermittlung in die USA verlange, zu empfehlen. Soweit die MB der Überzeugung sei, dass keine personenbezogenen Daten verarbeitet werden würden, sei ein Abschluss von Auftragsverarbeitungsbedingungen widersinnig. Auch der Umstand, dass die MB sicherheitshalber Standarddatenschutzklauseln mit der BF2 abschließe, deute darauf hin, dass sie selbst davon ausgehe, dass eine Datenübermittlung in die USA stattfinde. Auch das von der MB vorgelegte Verarbeitungsverzeichnis (VWA ./24) deute darauf hin, dass personenbezogene Daten an die BF2 übermittelt werden würden.Um eine Verletzung der Artikel 44, ff DSGVO zu verhindern, sei eine gänzliche Entfernung des Tools notwendig und ein Wechsel zu einem anderen Tool, das keine Datenübermittlung in die USA verlange, zu empfehlen. Soweit die MB der Überzeugung sei, dass keine personenbezogenen Daten verarbeitet werden würden, sei ein Abschluss von Auftragsverarbeitungsbedingungen widersinnig. Auch der Umstand, dass die MB sicherheitshalber Standarddatenschutzklauseln mit der BF2 abschließe, deute darauf hin, dass sie selbst davon ausgehe, dass eine Datenübermittlung in die USA stattfinde. Auch das von der MB vorgelegte Verarbeitungsverzeichnis (VWA ./24) deute darauf hin, dass personenbezogene Daten an die BF2 übermittelt werden würden. Entgegen den Ausführungen der MB sei der alleinige Zweck der Erhebung der IP-Adresse nicht die Durchführung der Übertragung einer Nachricht über ein Kommunikationsnetzwerk, vielmehr werde sie auch zur Verwendung von XXXX -Analytics erhoben. Infolge möglicher Datenabgriffe durch US-Geheimdienste sei weiter davon auszugehen, dass Interessen bzw. Grundrechte und Grundfreiheiten der betroffenen Personen, die den Schutz personenbezogener Daten erfordern, überwiegen. Wie der Europäische Gerichtshof ausgeführt habe, sei das bestehende System der Zugriffsmöglichkeiten von US-Geheimdiensten auf personenbezogene Daten von EU-Bürgern mit Art. 7, 8 und 47 GRC unvereinbar (EuGH 16.07.2020, C-311/18 (Schrems II)).Entgegen den Ausführungen der MB sei der alleinige Zweck der Erhebung der IP-Adresse nicht die Durchführung der Übertragung einer Nachricht über ein Kommunikationsnetzwerk, vielmehr werde sie auch zur Verwendung von römisch 40 -Analytics erhoben. Infolge möglicher Datenabgriffe durch US-Geheimdienste sei weiter davon auszugehen, dass Interessen bzw. Grundrechte und Grundfreiheiten der betroffenen Personen, die den Schutz personenbezogener Daten erfordern, überwiegen. Wie der Europäische Gerichtshof ausgeführt habe, sei das bestehende System der Zugriffsmöglichkeiten von US-Geheimdiensten auf personenbezogene Daten von EU-Bürgern mit Artikel 7, 8 und 47 GRC unvereinbar (EuGH 16.07.2020, C-311/18 (Schrems römisch zwei)). Seiner Stellungnahme (VWA ./26) legte der BF1 die Beilagen Drittpartner im Cookiebanner der MB (VWA ./27, siehe Punkt II.2), Kontakte von XXXX mit US-Server (VWA ./28, siehe Punkt II.2), und Kontakte von XXXX mit US-Server, Hinweis auf Fingerprinttechnologie (VWA ./29, siehe Punkt II.2) bei. Seiner Stellungnahme (VWA ./26) legte der BF1 die Beilagen Drittpartner im Cookiebanner der MB (VWA ./27, siehe Punkt römisch zwei.2), Kontakte von römisch 40 mit US-Server (VWA ./28, siehe Punkt römisch zwei.2), und Kontakte von römisch 40 mit US-Server, Hinweis auf Fingerprinttechnologie (VWA ./29, siehe Punkt römisch zwei.2) bei. I.5. Mit Schreiben vom 26.02.2021 forderte die bB die BF2 zur Stellungnahme auf (VWA ./30, siehe Punkt II.2). Mit Eingabe vom 09.04.2021 kam die BF2 dieser Aufforderung nach (VWA ./31, siehe Punkt II.2). In ihrer Stellungnahme beschreibt die BF2 unter anderem den Webanalysedienst XXXX -Analytics (siehe Punkt II.1.3.3), die Implementierung und die Funktionsweise von XXXX -Analytics (siehe Punkt II.1.5), die Einbettung des Programmcodes für XXXX -Analytics auf einer Website (siehe Punkt II.1.6), die Rechtsgrundlage für die Nutzung von XXXX -Analytics (siehe Punkt II.1.7), die Maßnahmen, welche nach dem Urteil des Europäischen Gerichtshofes vom 16.07.2020 in der Rechtssache C-311/18 gesetzt wurden (siehe Punkt II.1.9), die ergänzenden Maßnahmen, die mit Einführung der Standardvertragsklauseln gesetzt wurden (siehe Punkt II.1.10) sowie die Auswirkungen, wenn ein Nutzer eines XXXX -Kontos eine Website besucht, welche XXXX -Analytics verwendet. römisch eins.5. Mit Schreiben vom 26.02.2021 forderte die bB die BF2 zur Stellungnahme auf (VWA ./30, siehe Punkt römisch zwei.2). Mit Eingabe vom 09.04.2021 kam die BF2 dieser Aufforderung nach (VWA ./31, siehe Punkt römisch zwei.2). In ihrer Stellungnahme beschreibt die BF2 unter anderem den Webanalysedienst römisch 40 -Analytics (siehe Punkt römisch zwei.1.3.3), die Implementierung und die Funktionsweise von römisch 40 -Analytics (siehe Punkt römisch zwei.1.5), die Einbettung des Programmcodes für römisch 40 -Analytics auf einer Website (siehe Punkt römisch zwei.1.6), die Rechtsgrundlage für die Nutzung von römisch 40 -Analytics (siehe Punkt römisch zwei.1.7), die Maßnahmen, welche nach dem Urteil des Europäischen Gerichtshofes vom 16.07.2020 in der Rechtssache C-311/18 gesetzt wurden (siehe Punkt römisch zwei.1.9), die ergänzenden Maßnahmen, die mit Einführung der Standardvertragsklauseln gesetzt wurden (siehe Punkt römisch zwei.1.10) sowie die Auswirkungen, wenn ein Nutzer eines römisch 40 -Kontos eine Website besucht, welche römisch 40 -Analytics verwendet. I.6. Die Eingabe der BF2 (VWA ./32) übermittelte die bB im Rahmen des Parteiengehörs der MB und dem BF1 zur Stellungnahme.römisch eins.6. Die Eingabe der BF2 (VWA ./32) übermittelte die bB im Rahmen des Parteiengehörs der MB und dem BF1 zur Stellungnahme. I.7. Mit Stellungahme vom 04.05.2021 (VWA ./33, siehe Punkt II.2) führte die MB aus, dass sie lediglich die kostenlose Version von XXXX Analytics verwende. Dabei sei sowohl den Auftragsdatenverarbeitungsbedingungen (Nutzungsbedingungen) als auch den Standardvertragsklauseln (SDK) zugestimmt worden. Die BF2 werde nur als Auftragsverarbeiter eingesetzt. Die Weisungen erteile die MB über die Einstellungen der XXXX -Analytics-Benutzeroberfläche und über das globale Website Tag. Es sei die Datenfreigabe-Einstellung nicht aktiviert worden. Der

sei mit der Anonymisierungsfunktion eingebettet worden. Auch werde XXXX -Signals nicht eingesetzt. Die MB verfüge über kein eigenes Authentifizierungssystem und benutze auch keine Benutzer-ID-Funktion. Aktuell stütze man sich nicht auf die Ausnahmeregelung des Art. 49 Abs. 1 DSGVO.römisch eins.7. Mit Stellungahme vom 04.05.2021 (VWA ./33, siehe Punkt römisch zwei.2) führte die MB aus, dass sie lediglich die kostenlose Version von römisch 40 Analytics verwende. Dabei sei sowohl den Auftragsdatenverarbeitungsbedingungen (Nutzungsbedingungen) als auch den Standardvertragsklauseln (SDK) zugestimmt worden. Die BF2 werde nur als Auftragsverarbeiter eingesetzt. Die Weisungen erteile die MB über die Einstellungen der römisch 40 -Analytics-Benutzeroberfläche und über das globale Website Tag. Es sei die Datenfreigabe-Einstellung nicht aktiviert worden. Der

sei mit der Anonymisierungsfunktion eingebettet worden. Auch werde römisch 40 -Signals nicht eingesetzt. Die MB verfüge über kein eigenes Authentifizierungssystem und benutze auch keine Benutzer-ID-Funktion. Aktuell stütze man sich nicht auf die Ausnahmeregelung des Artikel 49, Absatz eins, DSGVO. I.

Mit Stellungnahme vom 05.05.2021 (VWA ./34, siehe Punkt II.2) erklärte der BF1, dass XXXX nicht Verfahrenspartei sei und in Hinblick auf die BF2 allein Beschwerdegegenstand sei, dass die Übermittlung und der Empfang der Daten Art. 44 ff DSGVO verfolgt sei bzw. die danach rechtswidrige Verarbeitung in den vereinigten Staaten. Gemäß Art. 44 DSGVO müssten „Verantwortliche und Auftragsverarbeiter“ die Vorgaben des Kapitel V DSGVO einhalten. Die BF2 sei als Auftragsverarbeiter Normadressat von Kapitel V DSGVO. Die bB sei für die BF2 unmittelbar zuständig, diese habe gegen Art. 44 ff DSGVO verstoßen. Hinsichtlich der von der BF2 vorgenommenen Verarbeitung sei die DSGVO anwendbar, da der sachliche Anwendungsbereich gemäß Art. 2 Abs. 1 und der räumliche Anwendungsbereich gemäß Art. 3 Abs. 2 lit. b leg.cit. erfüllt sei. römisch eins.
Mit Stellungnahme vom 05.05.2021 (VWA ./34, siehe Punkt römisch zwei.2) erklärte der BF1, dass römisch 40 nicht Verfahrenspartei sei und in Hinblick auf die BF2 allein Beschwerdegegenstand sei, dass die Übermittlung und der Empfang der Daten Artikel 44, ff DSGVO verfolgt sei bzw. die danach rechtswidrige Verarbeitung in den vereinigten Staaten. Gemäß Artikel 44, DSGVO müssten „Verantwortliche und Auftragsverarbeiter“ die Vorgaben des Kapitel römisch fünf DSGVO einhalten. Die BF2 sei als Auftragsverarbeiter Normadressat von Kapitel römisch fünf DSGVO. Die bB sei für die BF2 unmittelbar zuständig, diese habe gegen Artikel 44, ff DSGVO verstoßen. Hinsichtlich der von der BF2 vorgenommenen Verarbeitung sei die DSGVO anwendbar, da der sachliche Anwendungsbereich gemäß Artikel 2, Absatz eins und der räumliche Anwendungsbereich gemäß Artikel 3, Absatz 2, Litera b, leg.cit. erfüllt sei. Mit Verweis auf die Stellungnahme der BF2 (VWA ./31, siehe Punkt I.5) gab der BF1 an, dass die Datenübermittlung an die BF2 in die Vereinigten Staaten sowie der Personenbezug der übermittelten Daten unbestritten sei. Die BF2 stelle außer Streit, dass alle durch XXXX -Analytics erhobenen Daten in den Vereinigten Staaten gehostet werden würden. Entsprechend den Ausführungen des BF1 würden die MB und die BF2 selbst davon ausgehen, dass es zu einer Verarbeitung personenbezogener Daten einschließlich deren Übermittlung in ein Drittland komme, da andernfalls ein Abschluss eines Auftragsdatenverarbeitungsvertrages samt Standardvertragsklauseln vollkommen sinnbefreit wäre. Auch gebe die BF2 selbst an, dass anhand einer „Benutzerkennung“ („user identifer“) eine betroffene Person zum Zwecke der Löschung identifiziert werden könne. Damit bestehe die Möglichkeit der Identifizierbarkeit im Sinne des Art. 4 Abs. 1 DSGVO. Ferner führe die BF selbst aus, dass XXXX -Analytics eindeutige Identifikationen, die mit einem bestimmten Nutzer verbunden seien verwende. Soweit die BF2 ausführe, dass die an ihr übermittelten Daten mitunter nur „pseudonyme Daten“ seien würden, so sei dies einerseits faktisch falsch und anderseits sei zu beachten, dass selbst pseudonymisierte Daten (Art. 4 Abs. 5 DSGVO) vom Begriff personenbezogene Daten gemäß Art. 4 Abs. 1 DSGVO erfasst seien. Mit Verweis auf die Stellungnahme der BF2 (VWA ./31, siehe Punkt römisch eins.5) gab der BF1 an, dass die Datenübermittlung an die BF2 in die Vereinigten Staaten sowie der Personenbezug der übermittelten Daten unbestritten sei. Die BF2 stelle außer Streit, dass alle durch römisch 40 -Analytics erhobenen Daten in den Vereinigten Staaten gehostet werden würden. Entsprechend den Ausführungen des BF1 würden die MB und die BF2 selbst davon ausgehen, dass es zu einer Verarbeitung personenbezogener Daten einschließlich deren Übermittlung in ein Drittland komme, da andernfalls ein Abschluss eines Auftragsdatenverarbeitungsvertrages samt Standardvertragsklauseln vollkommen sinnbefreit wäre. Auch gebe die BF2 selbst an, dass anhand einer „Benutzerkennung“ („user identifer“) eine betroffene Person zum Zwecke der Löschung identifiziert werden könne. Damit bestehe die Möglichkeit der Identifizierbarkeit im Sinne des Artikel 4, Absatz eins, DSGVO. Ferner führe die BF selbst aus, dass römisch 40 -Analytics eindeutige Identifikationen, die mit einem bestimmten Nutzer verbunden seien verwende. Soweit die BF2 ausführe, dass die an ihr übermittelten Daten mitunter nur „pseudonyme Daten“ seien würden, so sei dies einerseits faktisch falsch und anderseits sei zu beachten, dass selbst pseudonymisierte Daten (Artikel 4, Absatz 5, DSGVO) vom Begriff personenbezogene Daten gemäß Artikel 4, Absatz eins, DSGVO erfasst seien. Es sei unbestreitbar, dass die die MB und die BF2 personenbezogene Daten verarbeitet und in die Vereinigten Staaten übermittelt hätten. Zumindest einige der anlässlich des Websitebesuchs am
August 2020 gesetzten Cookies würden eindeutige Nutzer-Identifikations-Nummern enthalten. In der Transaktion zwischen dem Browser des BF1 und https://tracking. XXXX , die zum angeführten Datum gestartet worden sei, seien die Nutzer-Identifikations-Nummern _gads, _ga und _gid gesetzt worden. Diese Nummern seien in Folge an https://www. XXXX -analytics.com/ übermittelt worden. Es handle sich bei den Nummern um Online-Kennungen, die der Identifizierbarkeit natürlicher Personen dienten und einem Nutzer konkret zugeordnet werden würden (siehe dazu auch Punkt II.1.3). Im Hinblick auf die IP-Adresse sei festzuhalten, dass Kapitel V DSGVO keine Ausnahmen für nachträglich anonymisierte Daten vorsehe. Es sei davon auszugehen, dass die IP-Adresse des BF1 nicht einmal in allen Transaktionen anonymisiert worden sei. Der Antrag auf Verhängung einer Geldbuße werde zurückgezogen, dies sei nunmehr eine Anregung.Es sei unbestreitbar, dass die die MB und die BF2 personenbezogene Daten verarbeitet und in die Vereinigten Staaten übermittelt hätten. Zumindest einige der anlässlich des Websitebesuchs am
August 2020 gesetzten Cookies würden eindeutige Nutzer-Identifikations-Nummern enthalten. In der Transaktion zwischen dem Browser des BF1 und https://tracking. römisch 40 , die zum angeführten Datum gestartet worden sei, seien die Nutzer-Identifikations-Nummern _gads, _ga und _gid gesetzt worden. Diese Nummern seien in Folge an https://www. römisch 40 -analytics.com/ übermittelt worden. Es handle sich bei den Nummern um Online-Kennungen, die der Identifizierbarkeit natürlicher Personen dienten und einem Nutzer konkret zugeordnet werden würden (siehe dazu auch Punkt römisch zwei.1.3). Im Hinblick auf die IP-Adresse sei festzuhalten, dass Kapitel römisch fünf DSGVO keine Ausnahmen für nachträglich anonymisierte Daten vorsehe. Es sei davon auszugehen, dass die IP-Adresse des BF1 nicht einmal in allen Transaktionen anonymisiert worden sei. Der Antrag auf Verhängung einer Geldbuße werde zurückgezogen, dies sei nunmehr eine Anregung. Die von der BF2 vorgebrachten zusätzlichen Maßnahmen (siehe Punkt II.1.10) seien irrelevant. In diesem Zusammenhang habe der Europäische Gerichtshof folgende Elemente der US-Gesetzgebung als mit den europäischen Grundrechten gemäß Art. 7, 8 und 47 EU-Grundrechtecharta (GRC) unvereinbar gesehen (EuGH 16.07.2020, C-311/18 (Schrems II), Rn 175 ff): Der Mangel jeglichen Rechtsschutzes vor US-Gerichten nach Art. 47 GRC; der Mangel jeglicher präzisen gesetzlichen Grundlage für die Überwachung, welche den Umfang und die Tragweite des Grundrechtseingriffs selbst festlegt und dem Erfordernis der Verhältnismäßigkeit genügt; der Mangel jeglicher individueller ex ante Entscheidung eines Gerichts, sondern die alleinige Überprüfung eines Überwachungssystems als Ganzes und das Fehlen jeder nachträglichen gerichtlichen Kontrolle und schließlich der Mangel jegliches Rechtsschutzes für „Nicht-US-Personen“. Vor diesem Hintergrund seien die zusätzlichen Maßnahmen (siehe Punkt II.1.10) nicht geeignet, die vom Europäischen Gerichtshof dargestellten Probleme zu lösen. Mit umfassender Begründung führte der BF1 aus, dass keine der vermeintlichen „zusätzlichen Maßnahmen“ über den normalen Standard der Datenverarbeitung gemäß Art. 32 DSGVO hinausgehe oder Relevanz in Hinblick auf Datenzugriffe der US-Regierung gemäß 50 U.S.

§ 1881a

und/oder EO 12.333 habe.Die von der BF2 vorgebrachten zusätzlichen Maßnahmen (siehe Punkt römisch zwei.1.10) seien irrelevant. In diesem Zusammenhang habe der Europäische Gerichtshof folgende Elemente der US-Gesetzgebung als mit den europäischen Grundrechten gemäß Artikel 7, 8 und 47 EU-Grundrechtecharta (GRC) unvereinbar gesehen (EuGH 16.07.2020, C-311/18 (Schrems römisch zwei), Rn 175 ff): Der Mangel jeglichen Rechtsschutzes vor US-Gerichten nach Artikel 47, GRC; der Mangel jeglicher präzisen gesetzlichen Grundlage für die Überwachung, welche den Umfang und die Tragweite des Grundrechtseingriffs selbst festlegt und dem Erfordernis der Verhältnismäßigkeit genügt; der Mangel jeglicher individueller ex ante Entscheidung eines Gerichts, sondern die alleinige Überprüfung eines Überwachungssystems als Ganzes und das Fehlen jeder nachträglichen gerichtlichen Kontrolle und schließlich der Mangel jegliches Rechtsschutzes für „Nicht-US-Personen“. Vor diesem Hintergrund seien die zusätzlichen Maßnahmen (siehe Punkt römisch zwei.1.10) nicht geeignet, die vom Europäischen Gerichtshof dargestellten Probleme zu lösen. Mit umfassender Begründung führte der BF1 aus, dass keine der vermeintlichen „zusätzlichen Maßnahmen“ über den normalen Standard der Datenverarbeitung gemäß Artikel 32, DSGVO hinausgehe oder Relevanz in Hinblick auf Datenzugriffe der US-Regierung gemäß 50 U.S.

Paragraph 1881 a, und/oder EO 12.333 habe. Seiner Stellungnahme (VWA ./34) legte der BF1 die Beilagen „ XXXX -Analytics Cookie, Verwendung auf Website“ (VWA ./35, siehe Punkt II.2), „So verwendet XXXX Cookies“ (VWA ./36, siehe Punkt II.2), und „Measurement Protocol Parameter Reference“ (VWA ./37, siehe Punkt II.2) bei.Seiner Stellungnahme (VWA ./34) legte der BF1 die Beilagen „ römisch 40 -Analytics Cookie, Verwendung auf Website“ (VWA ./35, siehe Punkt römisch zwei.2), „So verwendet römisch 40 Cookies“ (VWA ./36, siehe Punkt römisch zwei.2), und „Measurement Protocol Parameter Reference“ (VWA ./37, siehe Punkt römisch zwei.2) bei. I.

In Folge forderte die bB die Verfahrensparteien zur neuerlichen Stellungnahme auf (VWA ./38, ./39 und ./40, siehe Punkt II.2). Mit E-Mail vom 12.05.2021 beantragte die BF2 eine Verlängerung der Frist zur Stellungnahme (VWA ./41, siehe Punkt II.2), welche anschließend von der bB gewährt wurde (VWA ./42, siehe Punkt II.2).römisch eins.
In Folge forderte die bB die Verfahrensparteien zur neuerlichen Stellungnahme auf (VWA ./38, ./39 und ./40, siehe Punkt römisch zwei.2). Mit E-Mail vom 12.05.2021 beantragte die BF2 eine Verlängerung der Frist zur Stellungnahme (VWA ./41, siehe Punkt römisch zwei.2), welche anschließend von der bB gewährt wurde (VWA ./42, siehe Punkt römisch zwei.2). I.
In ihrer Stellungnahme vom 10.06.2021 (VWA ./43, siehe Punkt II.2) führte die BF2 aus, dass die Aktivlegitimation des BF1 nicht festgestellt worden sei, da nicht nachgewiesen worden sei, dass es sich bei den übermittelten Daten um personenbezogene Daten des BF1 handle. Um die verfahrensgegenständlichen Daten (Cookies, IP-Adresse) als personenbezogene Daten des BF1 qualifizieren zu können, müsste er auf der Grundlage dieser Daten identifizierbar seien.römisch eins.
In ihrer Stellungnahme vom 10.06.2021 (VWA ./43, siehe Punkt römisch zwei.2) führte die BF2 aus, dass die Aktivlegitimation des BF1 nicht festgestellt worden sei, da nicht nachgewiesen worden sei, dass es sich bei den übermittelten Daten um personenbezogene Daten des BF1 handle. Um die verfahrensgegenständlichen Daten (Cookies, IP-Adresse) als personenbezogene Daten des BF1 qualifizieren zu können, müsste er auf der Grundlage dieser Daten identifizierbar seien. Hinsichtlich der Nummern _gid und cid sei anzumerken, dass diese First-Party-Cookies seien, welche unter der Domain XXXX gesetzt worden seien. Es seien daher nicht Cookies der BF2, sondern Cookies des Website-Besitzers, und die Cookie-Werte seien für jeden Nutzer auf jeder Website unterschiedlich. Der BF1 habe ausgeführt, dass die Nummern „_gid“ und „cid“ an https://www. XXXX -analytics.com/ übermittelt worden seien. „_gid“ habe den Wert 1284433117.1597223478 und „cid“ den Wert 929316258.
Zur Beurteilung der Aktivlegitimation müsse daher festgestellt werden, ob diese Nummern (Werte) den BF1 identifizierbar machen. Hinsichtlich der Nummern _gid und cid sei anzumerken, dass diese First-Party-Cookies seien, welche unter der Domain römisch 40 gesetzt worden seien. Es seien daher nicht Cookies der BF2, sondern Cookies des Website-Besitzers, und die Cookie-Werte seien für jeden Nutzer auf jeder Website unterschiedlich. Der BF1 habe ausgeführt, dass die Nummern „_gid“ und „cid“ an https://www. römisch 40 -analytics.com/ übermittelt worden seien. „_gid“ habe den Wert 1284433117.1597223478 und „cid“ den Wert 929316258.
Zur Beurteilung der Aktivlegitimation müsse daher festgestellt werden, ob diese Nummern (Werte) den BF1 identifizierbar machen. In Anbetracht der Tatsache, dass ein einzelner Nutzer unterschiedliche cid-Nummern für verschiedene Websites habe und die cid-Nummern nach dem Zufallsprinzip generiert werden, könne eine solche cid-Nummer für sich genommen einen Nutzer nicht identifizieren. Die Nummer 929316258.1597394734 identifiziere den BF1 schlichtweg nicht. Der BF1 bringe nicht vor, dass spätere Besuche der Website stattgefunden hätten, geschweige denn, dass Daten im Zusammenhang mit solchen späteren Besuchen der Website in Verbindung mit der cid 929316258.1597394734 erfasst worden wären. Es seien keine Umstände hervorgekommen, aufgrund dessen man argumentieren könnte, dass in Verbindung mit der cid-Nummer 929316258.1597394734 gesammelte Informationen den BF1 identifizierbar machen würden. Diese Ausführungen gelten im Wesentlichen auf die _gid-Nummern. Im Hinblick auf die IP-Adresse sei zu prüfen, ob die IP-Adresse des mit dem Internet verbundenen Geräts tatsächlich dem BF1 zuzuordnen sei und ob der Verantwortliche oder eine andere Person die rechtlichen Mittel habe, um Anschlussinhaberinformationen von dem betreffenden Internetzugangsanbieter zu erhalten. Selbst wenn festgestellt würde, dass die MB oder eine andere Person theoretisch solche rechtlichen Mittel im Sinne des Erwägungsgrundes 26 habe, um Anschlussinhaberinformationen in Bezug auf den B1 vom Internetzugangsanbieter zu erhalten, müsse weiters noch festgestellt werden, ob es im Sinne des Erwägungsgrundes 26 DSGVO nach allgemeinem Ermessen wahrscheinlich sei, dass diese Mittel genutzt werden würden. Nach allgemeinem Ermessen sei nicht wahrscheinlich, dass die MB oder eine andere Person im Sinne von Erwägungsgrund 26 rechtliche Mittel (sofern ihnen solche zur Verfügung stehen) einsetzen würde. Insbesondere in der verfahrensgegenständlichen Situation, wäre es nach allgemeinem Ermessenunwahrscheinlich, dass solche rechtlichen Mittel eingesetzt würden, um einen beliebigen Besucher einer Webseite wie den BF1 zu identifizieren, wenn man die objektiven Faktoren, wie die Kosten und den Zeitaufwand solcher Mittel für die Identifizierung (siehe Erwägungsgrund 26) berücksichtige. Als Auftragsverarbeiter stelle die BF2 dem Website-Betreiber zahlreiche Konfigurationsmöglichkeiten von XXXX -Analytics zur Verfügung. Die Anonymisierungsfunktion sei entsprechend den Erklärungen der MB vom 16.12.2020 (VWA ./11) und 04.05.2021 (VWA ./33) konfiguriert worden. Jedoch sei aufgrund eines möglichen Konfigurationsfehlers seitens der MB die Anonymisierungsfunktion nicht in allen Fällen aktiviert worden. Als Auftragsverarbeiter stelle die BF2 dem Website-Betreiber zahlreiche Konfigurationsmöglichkeiten von römisch 40 -Analytics zur Verfügung. Die Anonymisierungsfunktion sei entsprechend den Erklärungen der MB vom 16.12.2020 (VWA ./11) und 04.05.2021 (VWA ./33) konfiguriert worden. Jedoch sei aufgrund eines möglichen Konfigurationsfehlers seitens der MB die Anonymisierungsfunktion nicht in allen Fällen aktiviert worden. Unter normalen Betriebsbedingungen und soweit Nutzer mit Sitz in der EU betroffen seien, befinde sich ein Webserver im EWR, weshalb die IP-Anonymisierung grundsätzlich innerhalb des EWR erfolge. Im vorliegenden Fall seien normale Betriebsbedingungen vorgelegen. Am
August 2020 habe das XXXX -Konto des BF1 ( XXXX ) die Web-&-App Aktivitäten Einstellung aktiviert. Allerdings habe sich das Konto nicht entschieden, Aktivitäten von Websites einzuschließen, die XXXX -Dienste nutzten. Da die MB nach eigenen Angaben auch XXXX -Signals nicht aktiviert habe, sei die BF2 nicht in der Lage (gewesen), festzustellen, dass der Nutzer des XXXX -Kontos XXXX die XXXX besucht habe.Am
August 2020 habe das römisch 40 -Konto des BF1 ( römisch 40 ) die Web-&-App Aktivitäten Einstellung aktiviert. Allerdings habe sich das Konto nicht entschieden, Aktivitäten von Websites einzuschließen, die römisch 40 -Dienste nutzten. Da die MB nach eigenen Angaben auch römisch 40 -Signals nicht aktiviert habe, sei die BF2 nicht in der Lage (gewesen), festzustellen, dass der Nutzer des römisch 40 -Kontos römisch 40 die römisch 40 besucht habe. Im Hinblick auf den internationalen Datenverkehr sei festzuhalten, dass selbst unter der Annahme, dass es sich um personenbezogene Daten des Beschwerdeführers handle, diese ihrer Art nach im Hinblick auf Quantität und Qualität begrenzt seien. Soweit die übermittelten Daten überhaupt als personenbezogene Daten zu qualifizieren seien, würde es sich auch um pseudonyme Daten handeln. Es seien Standardvertragsklauseln mit der MB abgeschlossen worden, zusätzlich seien ergänzende Maßnahmen implementiert worden. Die BF2 lege keine Nutzerdaten gemäß EO 12333 offen. FISA § 702 sei im vorliegenden Fall angesichts der Verschlüsselung und der Anonymisierung von IP-Adressen irrelevant. Es seien Standardvertragsklauseln mit der MB abgeschlossen worden, zusätzlich seien ergänzende Maßnahmen implementiert worden. Die BF2 lege keine Nutzerdaten gemäß EO 12333 offen. FISA Paragraph 702, sei im vorliegenden Fall angesichts der Verschlüsselung und der Anonymisierung von IP-Adressen irrelevant. Die Art. 44 ff DSGVO könnten nicht Gegenstand eines Beschwerdeverfahrens nach Art. 77 Abs. 1 DSGVO sein, weshalb die Beschwerde dahingehend zurückzuweisen sei. Die Artikel 44, ff DSGVO könnten nicht Gegenstand eines Beschwerdeverfahrens nach Artikel 77, Absatz eins, DSGVO sein, weshalb die Beschwerde dahingehend zurückzuweisen sei. Schließlich seien die Art. 44 ff DSGVO seien im Hinblick auf die BF2 als Datenimporteur auch nicht anwendbar.Schließlich seien die Artikel 44, ff DSGVO seien im Hinblick auf die BF2 als Datenimporteur auch nicht anwendbar. I.
Die Eingabe der BF2 wurde von der bB dem BF1 und der MB im Rahmen des Parteiengehörs übermittelt (VWA ./44, siehe Punkt II.2). Dahingehend beantragte der BF1 eine Verlängerung der Frist zur Stellungnahme (VWA ./45, siehe Punkt II.2). Weiters forderte die bB die MB mit Schreiben vom 16.06.2021 auf bekanntzugeben, ob es bei rechtliche Änderungen gegeben habe und die anwaltliche Vertretung nach wie vor bestehe (VWA ./46, siehe Punkt II.2).römisch eins.
Die Eingabe der BF2 wurde von der bB dem BF1 und der MB im Rahmen des Parteiengehörs übermittelt (VWA ./44, siehe Punkt römisch zwei.2). Dahingehend beantragte der BF1 eine Verlängerung der Frist zur Stellungnahme (VWA ./45, siehe Punkt römisch zwei.2). Weiters forderte die bB die MB mit Schreiben vom 16.06.2021 auf bekanntzugeben, ob es bei rechtliche Änderungen gegeben habe und die anwaltliche Vertretung nach wie vor bestehe (VWA ./46, siehe Punkt römisch zwei.2). I.
Mit Stellungnahme vom 18.06.2021 teilte die MB die Änderung ihrer Firma und die Übertragung der Website auf eine andere juristische Person mit (siehe Punkt II.1.2, sowie VWA ./47, siehe Punkt II.2).römisch eins.
Mit Stellungnahme vom 18.06.2021 teilte die MB die Änderung ihrer Firma und die Übertragung der Website auf eine andere juristische Person mit (siehe Punkt römisch zwei.1.2, sowie VWA ./47, siehe Punkt römisch zwei.2). I.
Mit weiterer Stellungnahme vom 18.06.2021 (VWA ./48, siehe Punkt II.2). führte die MB aus, dass die beabsichtigte IP-Anonymisierung aufgrund eines Programmierfehlers nicht aktiviert gewesen sei. Aufgrund der vorgenommenen Änderung sei nunmehr für alle XXXX -Analytics Properties auf der Website XXXX die IP-Anonymisierung aktiviert (VWA ./50, siehe Punkt II.2). In der Folge sei die BF2 angewiesen worden, alle über die XXXX -Analytics-Properties gesammelten Daten sofort zu löschen. Die BF2 habe die Löschung mittlerweile bestätigt (VWA ./49, ./52 und ./53 siehe Punkt II.2). Aufgrund der vorgenommenen Löschung verarbeite weder die MB noch die BF2 Daten des BF
Es werde daher gemäß § 24 Abs. 6 DSG die formlose Einstellung des Verfahrens angeregt. Die Stellungnahme der MB wurde dem BF1 zur Kenntnisnahme übermittelt (VWA ./51, siehe Punkt II.2). römisch eins.
Mit weiterer Stellungnahme vom 18.06.2021 (VWA ./48, siehe Punkt römisch zwei.2). führte die MB aus, dass die beabsichtigte IP-Anonymisierung aufgrund eines Programmierfehlers nicht aktiviert gewesen sei. Aufgrund der vorgenommenen Änderung sei nunmehr für alle römisch 40 -Analytics Properties auf der Website römisch 40 die IP-Anonymisierung aktiviert (VWA ./50, siehe Punkt römisch zwei.2). In der Folge sei die BF2 angewiesen worden, alle über die römisch 40 -Analytics-Properties gesammelten Daten sofort zu löschen. Die BF2 habe die Löschung mittlerweile bestätigt (VWA ./49, ./52 und ./53 siehe Punkt römisch zwei.2). Aufgrund der vorgenommenen Löschung verarbeite weder die MB noch die BF2 Daten des BF
Es werde daher gemäß Paragraph 24, Absatz 6, DSG die formlose Einstellung des Verfahrens angeregt. Die Stellungnahme der MB wurde dem BF1 zur Kenntnisnahme übermittelt (VWA ./51, siehe Punkt römisch zwei.2). I.
In der Eingabe vom 09.07.2021 (VWA ./54, siehe Punkt II.2) gab die BF2 an, dass die Angemessenheitsbeurteilung nach den Empfehlungen 01/2020 zu Maßnahmen zur Ergänzung von Übermittlungstools zur Gewährleistung des unionsrechtlichen Schutzniveaus für personenbezogene Daten, Version 2.0 des Europäischen Datenschutzausschusses („EDSA-Empfehlungen“) nicht auf die Prüfung der Rechtsvorschriften des Drittlandes beschränkt sei. Es müssen auch alle spezifischen Umstände der gegenständlichen Übermittlung berücksichtigen werden. Im vorliegenden Fall seien die verarbeiteten personenbezogenen Daten aufgrund der begrenzten Art und der geringen Sensibilität anders zu behandeln als die Daten, welche Gegenstand der Schrems-I- und Schrems-II-Urteile. Dies sei für den gegenständlichen Fall relevant. Im Ergebnis werde vom Europäischen Datenschutzausschuss ein risikopassierter Ansatz empfohlen.römisch eins.
In der Eingabe vom 09.07.2021 (VWA ./54, siehe Punkt römisch zwei.2) gab die BF2 an, dass die Angemessenheitsbeurteilung nach den Empfehlungen 01 aus 2020, zu Maßnahmen zur Ergänzung von Übermittlungstools zur Gewährleistung des unionsrechtlichen Schutzniveaus für personenbezogene Daten, Version 2.0 des Europäischen Datenschutzausschusses („EDSA-Empfehlungen“) nicht auf die Prüfung der Rechtsvorschriften des Drittlandes beschränkt sei. Es müssen auch alle spezifischen Umstände der gegenständlichen Übermittlung berücksichtigen werden. Im vorliegenden Fall seien die verarbeiteten personenbezogenen Daten aufgrund der begrenzten Art und der geringen Sensibilität anders zu behandeln als die Daten, welche Gegenstand der Schrems-I- und Schrems-II-Urteile. Dies sei für den gegenständlichen Fall relevant. Im Ergebnis werde vom Europäischen Datenschutzausschuss ein risikopassierter Ansatz empfohlen. Auch sie die tatsächliche Wahrscheinlichkeit eines behördlichen Zugriffs auf die Daten ein relevanter Faktor für die Angemessenheitsbeurteilung. Selbst bei Vorliegen problematischer Gesetzgebung könne eine Fortsetzung der Datenübermittlung zulässig sein (auch ohne Durchführung zusätzlicher Maßnahmen), wenn der Exporteur keinen Grund zur Annahme habe, dass die problematische Gesetzgebung in der Praxis so ausgelegt und/oder angewandt werden könnte, dass sie die übermittelten Daten und den spezifischen Datenimporteur erfassen würde. Zudem sei für die Beurteilung nicht mehr ausschließlich die Gesetzgebung des Drittlandes von Bedeutung, sondern auch die Frage, ob die Praxis dies anwende oder auch nicht. So sei aus dem White Paper „Information on U.S. Privacy Safeguards Relevant to SCCs and Other EU Legal Basis for EU-U.S. Data Transfers after Schrems ll" zu entnehmen, dass die meisten Unternehmen, die in der EU tätig seien, keine Daten verarbeiten, die für US-Geheimdienste von Interesse seien. Wenn ein Datenexporteur personenbezogene Daten in einer Weise übermittle, dass die personenbezogenen Daten ohne die Kombination mit weiteren Daten nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, sei entsprechend der EDSA-Empfehlungen die durchgeführte Pseudonymisierung eine wirksame ergänzende Maßnahme. Es sei nicht zu erwarten, dass US-Behörden über zusätzliche Informationen verfügen, die es ihnen ermöglichen würde, die hinter den First Party Cookie-Werten _gid und cid bzw. hinter einer IP-Adresse stehenden betroffenen Personen zu identifizieren. Schließlich habe der BF1 auch nicht die Feststellung beantragt, dass seine Rechte in der Vergangenheit verletzt worden seien. I.
In seiner Stellungnahme vom 09.07.2021 (VWA ./55, siehe Punkt II.2) erklärte der BF1, dass eine Verarbeitung von personenbezogenen Daten gegeben sei. Dies sei durch die vorgelegten Unterlagen (VWA ./5 sowie VWA ./34, Punkt 5.3) belegt worden. Auch würden Vertragsdokumente (Auftragsdatenverarbeitungsbedingungen oder Standarddatenschutzklauseln) einen Personenbezug nicht erzeugen, jedoch seien diese Dokumente ein wichtiges Indiz, dass sowohl die BF2 als auch die MB von einem Personenbezug ausgehen würden. Auch gehe die BF2 selbst von einer Identifizierbarkeit des BF1 aus. Wenn es letztlich für die Identifikation eines Website-Besuchers nur Voraussetzung sei, ob dieser eine gewisse Willenserklärungen in seinem XXXX -Konto abgebe (wie etwa die Aktivierung von „Ad personalisation“), würden für die BF2 alle Möglichkeiten der Identifizierbarkeit vorliegen. Andernfalls könne die BF2 den in den Kontoeinstellungen ausgedrückten Wünschen eines Nutzers nach „Personalisierung“ der erhaltenen Werbeinformationen nicht entsprechen.römisch eins.
In seiner Stellungnahme vom 09.07.2021 (VWA ./55, siehe Punkt römisch zwei.2) erklärte der BF1, dass eine Verarbeitung von personenbezogenen Daten gegeben sei. Dies sei durch die vorgelegten Unterlagen (VWA ./5 sowie VWA ./34, Punkt 5.3) belegt worden. Auch würden Vertragsdokumente (Auftragsdatenverarbeitungsbedingungen oder Standarddatenschutzklauseln) einen Personenbezug nicht erzeugen, jedoch seien diese Dokumente ein wichtiges Indiz, dass sowohl die BF2 als auch die MB von einem Personenbezug ausgehen würden. Auch gehe die BF2 selbst von einer Identifizierbarkeit des BF1 aus. Wenn es letztlich für die Identifikation eines Website-Besuchers nur Voraussetzung sei, ob dieser eine gewisse Willenserklärungen in seinem römisch 40 -Konto abgebe (wie etwa die Aktivierung von „Ad personalisation“), würden für die BF2 alle Möglichkeiten der Identifizierbarkeit vorliegen. Andernfalls könne die BF2 den in den Kontoeinstellungen ausgedrückten Wünschen eines Nutzers nach „Personalisierung“ der erhaltenen Werbeinformationen nicht entsprechen. Der UUID (Universally Unique Identifier) im _gid-Cookie mit dem UNIX-Zeitstempel 1597223478 sei am Mittwoch, 12 August 2020 um 11:11 und 18 Sekunden MEZ gesetzt worden, jene im cid-Cookie mit dem UNIX-Zeitstempel 1597394734 am Freitag,
August 2020 um 10:45 und 34 Sekunden MEZ. Daraus folge, dass diese Cookies schon vor dem beschwerdegegenständlichen Besuch verwendet worden seien und auch ein längerfristiges Tracking stattgefunden habe. Der BF1 habe seines Wissens diese Cookies auch nicht unmittelbar gelöscht und die Webseite XXXX auch wiederholt besucht.Der UUID (Universally Unique Identifier) im _gid-Cookie mit dem UNIX-Zeitstempel 1597223478 sei am Mittwoch, 12 August 2020 um 11:11 und 18 Sekunden MEZ gesetzt worden, jene im cid-Cookie mit dem UNIX-Zeitstempel 1597394734 am Freitag,
August 2020 um 10:45 und 34 Sekunden MEZ. Daraus folge, dass diese Cookies schon vor dem beschwerdegegenständlichen Besuch verwendet worden seien und auch ein längerfristiges Tracking stattgefunden habe. Der BF1 habe seines Wissens diese Cookies auch nicht unmittelbar gelöscht und die Webseite römisch 40 auch wiederholt besucht. Die BF2 verkenne das weite Verständnis der DSGVO bei der Beurteilung des Vorliegens personenbezogener Daten. Die konkret genutzte IP-Adresse sei auch für den BF1 nicht mehr feststellbar. Dies sei aber irrelevant, da über die UUID in den Cookies ohnehin ein klarer Personenbezug bestehe. Speziell die Kombination von Cookie-Daten und IP-Adresse erlaube Tracking und die Auswertung von geografischer Lokalisation, Internet-Anschluss und Kontext des Besuchers, die mit den bereits beschriebenen Cookie-Daten verknüpfbar seien. Hierzu würden aber auch Daten wie der genutzte Browser, die Bildschirmauflösung oder das Betriebssystem („Device Fingerprinting“) kommen. Im Rahmen der Beschwerde relevanter sei, dass US-Behörden gerade für Geheimdienste leicht feststellbare Daten, wie etwa die IP-Adresse, als Ausgangspunkt für die Überwachung von Einzelpersonen nutzen würden. Es sei das Standardvorgehen von Geheimdiensten, sich von einem Datum zu anderen „weiterzuhangeln“. Wenn der Computer des BF1 etwa immer wiederüber die IP-Adresse von XXXX im Internet auftauche, so könne dies genutzt werden, um die Arbeit des Vereins XXXX auszuspähen und um den BF1 ins Visier zu nehmen. In einem weiteren Schritt würden dann andere Identifier in den Daten gesucht, wie etwa die genannten UUIDs, was wiederrum eine Identifikation der einzelnen Person für eine Überwachung an anderen Orten ermögliche. Bei US-Geheimdiensten handle es sich in diesem Zusammenhang sohin um eine „andere Person“ im Sinne des Erwägungsgrundes 26 DSGVO. Der BF1 arbeite nicht nur für XXXX , sondern habe als Musterbeschwerdeführer auch eine relevante Rolle in diesen Anstrengungen. Damit sei nach US-Recht eine Überwachung des BF1 nach 50 USC § 1881a (ebenso wie von allen anderen mit dieser Beschwerde betrauten Personen) jederzeit legal möglich. Selbst bei der Anwendung des vermeintlichen „risikobasierten Ansatzes“ sei der gegenständliche Fall ein Paradebeispiel für ein hohes Risiko.Im Rahmen der Beschwerde relevanter sei, dass US-Behörden gerade für Geheimdienste leicht feststellbare Daten, wie etwa die IP-Adresse, als Ausgangspunkt für die Überwachung von Einzelpersonen nutzen würden. Es sei das Standardvorgehen von Geheimdiensten, sich von einem Datum zu anderen „weiterzuhangeln“. Wenn der Computer des BF1 etwa immer wiederüber die IP-Adresse von römisch 40 im Internet auftauche, so könne dies genutzt werden, um die Arbeit des Vereins römisch 40 auszuspähen und um den BF1 ins Visier zu nehmen. In einem weiteren Schritt würden dann andere Identifier in den Daten gesucht, wie etwa die genannten UUIDs, was wiederrum eine Identifikation der einzelnen Person für eine Überwachung an anderen Orten ermögliche. Bei US-Geheimdiensten handle es sich in diesem Zusammenhang sohin um eine „andere Person“ im Sinne des Erwägungsgrundes 26 DSGVO. Der BF1 arbeite nicht nur für römisch 40 , sondern habe als Musterbeschwerdeführer auch eine relevante Rolle in diesen Anstrengungen. Damit sei nach US-Recht eine Überwachung des BF1 nach 50 USC Paragraph 1881 a, (ebenso wie von allen anderen mit dieser Beschwerde betrauten Personen) jederzeit legal möglich. Selbst bei der Anwendung des vermeintlichen „risikobasierten Ansatzes“ sei der gegenständliche Fall ein Paradebeispiel für ein hohes Risiko. Die E-Mail-Adresse XXXX sei dem BF1 zuzuordnen, der bis zu seiner Eheschließung den Nachnamen “ XXXX “ getragen habe. Das alte XXXX -Konto werde jedoch noch immer benutzt. Die BF2 habe nicht erklärt, inwieweit die unstrittig vorliegenden Daten verknüpft, ausgewertet oder das Ergebnis einer Auswertung dem Nutzer nur nicht angezeigt werde.Die E-Mail-Adresse römisch 40 sei dem BF1 zuzuordnen, der bis zu seiner Eheschließung den Nachnamen “ römisch 40 “ getragen habe. Das alte römisch 40 -Konto werde jedoch noch immer benutzt. Die BF2 habe nicht erklärt, inwieweit die unstrittig vorliegenden Daten verknüpft, ausgewertet oder das Ergebnis einer Auswertung dem Nutzer nur nicht angezeigt werde. Darüber hinaus kenne Kapitel V DSGVO keinen „risikobasierten Ansatz“. Dieser finde sich nur in bestimmten Artikeln der DSGVO, wie etwa in Art. 32 leg.cit. Die neuen Standardvertragsklauseln im Durchführungsbeschluss (EU) 2021/914 seien für den Sachverhalt mangels zeitlicher Gültigkeit nicht relevant. Eine „Übermittlung“ sei keine einseitige Handlung eines Datenexporteurs, jede „Übermittlung“ verlange auch einen Empfang der Daten. Demnach sei das Kapitel V der DSGVO auch für die BF2 anwendbar, es handle sich um ein gemeinschaftliches Handeln von Datenexporteur und -importeur.Darüber hinaus kenne Kapitel römisch fünf DSGVO keinen „risikobasierten Ansatz“. Dieser finde sich nur in bestimmten Artikeln der DSGVO, wie etwa in Artikel 32, leg.cit. Die neuen Standardvertragsklauseln im Durchführungsbeschluss (EU) 2021/914 seien für den Sachverhalt mangels zeitlicher Gültigkeit nicht relevant. Eine „Übermittlung“ sei keine einseitige Handlung eines Datenexporteurs, jede „Übermittlung“ verlange auch einen Empfang der Daten. Demnach sei das Kapitel römisch fünf der DSGVO auch für die BF2 anwendbar, es handle sich um ein gemeinschaftliches Handeln von Datenexporteur und -importeur. Sofern der BF2 die Art. 44 ff DSGVO nicht verletzt habe, seien die Bestimmungen gemäß Art. 28 Abs. 3 lit. a und Art. 29 DSGVO als „Auffangregelung“ zu berücksichtigen. Leiste die BF2 einer entsprechenden Weisung eines US-Geheimdienstes Folge, so treffe er damit die Entscheidung, personenbezogene Daten über den konkreten Auftrag der MB gemäß Art. 28 und Art. 29 DSGVO und den entsprechenden Vertragsdokumenten hinaus zu verarbeiten. Hierdurch werde die BF2 gemäß Art. 28 Abs. 10 DSGVO selbst zum Verantwortlichen. Infolgedessen habe die BF2 insbesondere auch die Bestimmungen der Art. 5 ff DSGVO zu befolgen. Eine heimliche Datenweitergabe an US-Geheimdienste gemäß dem Recht der USA sei ohne Zweifel nicht mit Art. 5 Abs. 1 lit. f DSGVO, Art. 5 Abs. 1 lit. a DSGVO und Art. 6 DSGVO vereinbar.Sofern der BF2 die Artikel 44, ff DSGVO nicht verletzt habe, seien die Bestimmungen gemäß Artikel 28, Absatz 3, Litera a und Artikel 29, DSGVO als „Auffangregelung“ zu berücksichtigen. Leiste die BF2 einer entsprechenden Weisung eines US-Geheimdienstes Folge, so treffe er damit die Entscheidung, personenbezogene Daten über den konkreten Auftrag der MB gemäß Artikel 28 und Artikel 29, DSGVO und den entsprechenden Vertragsdokumenten hinaus zu verarbeiten. Hierdurch werde die BF2 gemäß Artikel 28, Absatz 10, DSGVO selbst zum Verantwortlichen. Infolgedessen habe die BF2 insbesondere auch die Bestimmungen der Artikel 5, ff DSGVO zu befolgen. Eine heimliche Datenweitergabe an US-Geheimdienste gemäß dem Recht der USA sei ohne Zweifel nicht mit Artikel 5, Absatz eins, Litera f, DSGVO, Artikel 5, Absatz eins, Litera a, DSGVO und Artikel 6, DSGVO vereinbar. I.
Nach Aufforderung zur Stellungnahme (VWA ./56, siehe Punkt II.2) führte die BF2 mit ihrer Eingabe vom 12.08.2021 (VWA ./57, siehe Punkt II.2) aus, dass der BF1 seine Aktivlegitimation zur Beschwerdeeinbringung nicht dargetan habe. Er habe keine seitens der BF2 aufgeworfenen Fragen zur Identifizierbarkeit seiner Person anhand der IP-Adresse beantwortet. In Bezug auf die _gid-Nummer und cid-Nummer sei festzuhalten, dass kein Verzeichnis vorhanden sei, um dadurch den BF2 identifizierbar zu machen. Die Tatsache, dass in ErwGr 26 DSGVO das „Aussondern“ als mögliches Mittel zur Identifizierung erwähnt sei, ändere jedoch nicht das Verständnis der Worte „identifizieren“ oder „Identifizierung“ oder „Identifizierbarkeit“.römisch eins.
Nach Aufforderung zur Stellungnahme (VWA ./56, siehe Punkt römisch zwei.2) führte die BF2 mit ihrer Eingabe vom 12.08.2021 (VWA ./57, siehe Punkt römisch zwei.2) aus, dass der BF1 seine Aktivlegitimation zur Beschwerdeeinbringung nicht dargetan habe. Er habe keine seitens der BF2 aufgeworfenen Fragen zur Identifizierbarkeit seiner Person anhand der IP-Adresse beantwortet. In Bezug auf die _gid-Nummer und cid-Nummer sei festzuhalten, dass kein Verzeichnis vorhanden sei, um dadurch den BF2 identifizierbar zu machen. Die Tatsache, dass in ErwGr 26 DSGVO das „Aussondern“ als mögliches Mittel zur Identifizierung erwähnt sei, ändere jedoch nicht das Verständnis der Worte „identifizieren“ oder „Identifizierung“ oder „Identifizierbarkeit“. Die Identifizierbarkeit des BF1 setze zumindest voraus, dass seine Identifizierung auf Grundlage der gegenständlichen Daten und mit Mitteln möglich sei, die nach allgemeinem Ermessen wahrscheinlich genutzt würden. Dies sei nicht festgestellt und könne nicht unterstellt werden und sei im Gegenteil sogar unwahrscheinlich, wenn nicht sogar unmöglich. Auch die Tatsache, dass die BF2 Auftragsdatenverarbeitungsbedingungen abgeschlossen habe, bedeute weder, dass es sich bei den Daten, die Gegenstand dieses Verfahrens seien, um personenbezogene Daten handle, noch, dass es sich um die Daten des BF1 handle. Der Ansicht des BF1, dass die Datenübermittlung nicht nach einem risikobasierten Ansatz zu bewerten sei („Alles-oder-Nichts“), sei nicht zu folgen. Dies stehe nicht im Einklang mit der DSGVO und sei an ErwGr 20 des Durchführungsbeschlusses (EU) 2021/914 der Europäischen Kommission zu sehen. Ebenso sei dies an den unterschiedlichen Versionen der EDSA-Empfehlung erkennbar. Selbst wenn ein Zugriff auf die oben angeführten Nummern durch US-Behörden „jederzeit legal“ möglich sei, sei zu überprüfen, wie wahrscheinlich dies sei. Der BF1 habe keine überzeugenden Argumente dafür vorgebracht, warum oder wie die „Cookie-Daten“ im Zusammenhang mit seinem Besuch einer öffentlich zugänglichen, und von vielen genutzten österreichischen Website wie der in Rede stehenden, „Foreign Intelligence Information“ seien und damit zum Ziel der zweckbeschränkten Datenerfassung gemäß § 702 werden könnten.Der Ansicht des BF1, dass die Datenübermittlung nicht nach einem risikobasierten Ansatz zu bewerten sei („Alles-oder-Nichts“), sei nicht zu folgen. Dies stehe nicht im Einklang mit der DSGVO und sei an ErwGr 20 des Durchführungsbeschlusses (EU) 2021/914 der Europäischen Kommission zu sehen. Ebenso sei dies an den unterschiedlichen Versionen der EDSA-Empfehlung erkennbar. Selbst wenn ein Zugriff auf die oben angeführten Nummern durch US-Behörden „jederzeit legal“ möglich sei, sei zu überprüfen, wie wahrscheinlich dies sei. Der BF1 habe keine überzeugenden Argumente dafür vorgebracht, warum oder wie die „Cookie-Daten“ im Zusammenhang mit seinem Besuch einer öffentlich zugänglichen, und von vielen genutzten österreichischen Website wie der in Rede stehenden, „Foreign Intelligence Information“ seien und damit zum Ziel der zweckbeschränkten Datenerfassung gemäß Paragraph 702, werden könnten. I.
Mit verfahrensgegenständlichen Bescheid (VWA ./59, siehe Punkt II.2) behob die bB mit Spruchpunkt
zunächst den Bescheid vom 02.10.2020, Zl 2020-0.527.385 (DSB-D155.027) (siehe Punkt I.2).römisch eins.
Mit verfahrensgegenständlichen Bescheid (VWA ./59, siehe Punkt römisch zwei.2) behob die bB mit Spruchpunkt
zunächst den Bescheid vom 02.10.2020, Zl 2020-0.527.385 (DSB-D155.027) (siehe Punkt römisch eins.2). Mit Spruchpunkt
gab die bB der Beschwerde gegen die MB statt und stellte fest, dass (a) die MB als Verantwortliche durch Implementierung des Tools „ XXXX -Analytics“ auf ihrer Website unter XXXX zumindest am
August 2020 personenbezogene Daten des BF1 (dies sind zumindest einzigartige Nutzer-Identifikations-Nummern, IP-Adresse und Browserparameter) an die BF2 übermittelt habe, (b) die Standarddatenschutzklauseln, die die MB mit der BF2 abgeschlossen habe, kein angemessenes Schutzniveau gemäß Art. 44 DSGVO bieten würden, da (i) die BF2 als Anbieter elektronischer Kommunikationsdienste im Sinne von 50 U.S.

§ 1881(b)

(4)zu qualifizieren sei und als solcher der Überwachung durch US-Geheimdienste gemäß 50 U.S.

§ 1881a

(„FISA 702“) unterliege, und (

ii)die Maßnahmen, die zusätzlich zu den in Spruchpunkt 2.
b)genannten Standarddatenschutzklauseln getroffenen worden seien, nicht effektiv seien, da diese die Überwachungs- und Zugriffsmöglichkeiten durch US-Nachrichtendienste nicht beseitigen würden und (
c)im vorliegenden Fall kein anderes Instrument gemäß Kapitel V der DSGVO für die in Spruchpunkt (2.
a)angeführte Datenübermittlung herangezogen werden könne und die MB deshalb für die im Rahmen der in Spruchpunkt 2.
a)angeführte Datenübermittlung kein angemessenes Schutzniveau gemäß Art. 44 DSGVO gewährleistet habe.Mit Spruchpunkt 2. gab die bB der Beschwerde gegen die MB statt und stellte fest, dass (
a)die MB als Verantwortliche durch Implementierung des Tools „ römisch 40 -Analytics“ auf ihrer Website unter römisch 40 zumindest am 14. August 2020 personenbezogene Daten des BF1 (dies sind zumindest einzigartige Nutzer-Identifikations-Nummern, IP-Adresse und Browserparameter) an die BF2 übermittelt habe, (
b)die Standarddatenschutzklauseln, die die MB mit der BF2 abgeschlossen habe, kein angemessenes Schutzniveau gemäß Artikel 44, DSGVO bieten würden, da (
i)die BF2 als Anbieter elektronischer Kommunikationsdienste im Sinne von 50 U.S.

Paragraph 1881 (, b,)

(4)zu qualifizieren sei und als solcher der Überwachung durch US-Geheimdienste gemäß 50 U.S.

Paragraph 1881 a, („FISA 702“) unterliege, und (

ii)die Maßnahmen, die zusätzlich zu den in Spruchpunkt 2.
b)genannten Standarddatenschutzklauseln getroffenen worden seien, nicht effektiv seien, da diese die Überwachungs- und Zugriffsmöglichkeiten durch US-Nachrichtendienste nicht beseitigen würden und (
c)im vorliegenden Fall kein anderes Instrument gemäß Kapitel römisch fünf der DSGVO für die in Spruchpunkt (2.
a)angeführte Datenübermittlung herangezogen werden könne und die MB deshalb für die im Rahmen der in Spruchpunkt 2.
a)angeführte Datenübermittlung kein angemessenes Schutzniveau gemäß Artikel 44, DSGVO gewährleistet habe. Mit Spruchpunkt 3. wies die bB die Beschwerde wegen einer Verletzung der allgemeinen Grundsätze der Datenübermittlung gemäß Art. 44 DSGVO gegen die BF2 ab.Mit Spruchpunkt 3. wies die bB die Beschwerde wegen einer Verletzung der allgemeinen Grundsätze der Datenübermittlung gemäß Artikel 44, DSGVO gegen die BF2 ab. In ihrer rechtlichen Begründung setzt sich die bB zunächst mit ihrer Zuständigkeit und ihrer Feststellungkompetenz (siehe dazu Punkt II.3.4) auseinander. Auch beschreibt sie, dass Art. 44 DSGVO als subjektives Recht zu werten sei (siehe dazu Punkt II.3.4). Im Zusammenhang mit Spruchpunkt 2. führte die bB aus, dass die übermittelten Daten (siehe Punkt II.1.3 bzw. II.1.3.1) jedenfalls in Kombination personenbezogene Daten gemäß Art. 4 Z 1 DSGVO seien. Zum fehlenden angemessenen Schutzniveau gemäß Art. 44 DSGVO gab die bB an, dass der Europäische Gerichtshof das „EU-US Privacy Shield“ mit der Entscheidung vom 16.07.2020, C-311/18 (Schrems II) für ungültig erklärt habe. Auch könne die verfahrensgegenständliche Datenübertragung nicht allein auf die zwischen der MB und der BF2 abgeschlossenen Standarddatenschutzklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO gestützt werden. Auch seien die von der BF2 aufgezeigten zusätzlichen Maßnahmen nicht geeignet, die im Urteil aufgezeigten Rechtsschutzlücken – unangemessene Zugriffs- und Überwachungsmöglichkeiten von US-Nachrichtendiensten sowie unzureichender wirksamer Rechtsbehelf für Betroffene – zu schließen.In ihrer rechtlichen Begründung setzt sich die bB zunächst mit ihrer Zuständigkeit und ihrer Feststellungkompetenz (siehe dazu Punkt römisch zwei.3.4) auseinander. Auch beschreibt sie, dass Artikel 44, DSGVO als subjektives Recht zu werten sei (siehe dazu Punkt römisch zwei.3.4). Im Zusammenhang mit Spruchpunkt 2. führte die bB aus, dass die übermittelten Daten (siehe Punkt römisch zwei.1.3 bzw. römisch zwei.1.3.1) jedenfalls in Kombination personenbezogene Daten gemäß Artikel 4, Ziffer eins, DSGVO seien. Zum fehlenden angemessenen Schutzniveau gemäß Artikel 44, DSGVO gab die bB an, dass der Europäische Gerichtshof das „EU-US Privacy Shield“ mit der Entscheidung vom 16.07.2020, C-311/18 (Schrems römisch zwei) für ungültig erklärt habe. Auch könne die verfahrensgegenständliche Datenübertragung nicht allein auf die zwischen der MB und der BF2 abgeschlossenen Standarddatenschutzklauseln gemäß Artikel 46, Absatz 2, Litera c, DSGVO gestützt werden. Auch seien die von der BF2 aufgezeigten zusätzlichen Maßnahmen nicht geeignet, die im Urteil aufgezeigten Rechtsschutzlücken – unangemessene Zugriffs- und Überwachungsmöglichkeiten von US-Nachrichtendiensten sowie unzureichender wirksamer Rechtsbehelf für Betroffene – zu schließen. Die Abweisung im Spruchpunkt 3. begründete die bB damit, dass die Voraussetzungen des Art. 44 DSGVO auf die BF2 nicht zutreffen würden. Die BF2 lege die personenbezogenen Daten des BF1 nicht offen, sondern erhalte sie nur. Die Vorgaben von Kapitel V DSGVO seien vom Datenexporteur und nicht auch von einem Datenimporteur (in einem Drittstaat) einzuhalten. Die Abweisung im Spruchpunkt 3. begründete die bB damit, dass die Voraussetzungen des Artikel 44, DSGVO auf die BF2 nicht zutreffen würden. Die BF2 lege die personenbezogenen Daten des BF1 nicht offen, sondern erhalte sie nur. Die Vorgaben von Kapitel römisch fünf DSGVO seien vom Datenexporteur und nicht auch von einem Datenimporteur (in einem Drittstaat) einzuhalten. Der Bescheid wurde dem BF1 am 12.01.2022, der BF2 und der MB am 13.01. zugestellt. Gegen den Spruchpunkt 3. des Bescheides erhob der BF1 am 07.02.2022 eine Bescheidbeschwerde (siehe Punkt I.20). Die BF2 erhob am 09.02.2022 gegen Spruchpunkt 2. des Bescheides eine Bescheidbeschwerde (siehe Punkt I.17I.18). Seitens der MB erfolgte keine Bescheidbeschwerde. Der Bescheid wurde dem BF1 am 12.01.2022, der BF2 und der MB am 13.01. zugestellt. Gegen den Spruchpunkt 3. des Bescheides erhob der BF1 am 07.02.2022 eine Bescheidbeschwerde (siehe Punkt römisch eins.20). Die BF2 erhob am 09.02.2022 gegen Spruchpunkt 2. des Bescheides eine Bescheidbeschwerde (siehe Punkt römisch eins.17I.18). Seitens der MB erfolgte keine Bescheidbeschwerde. I.18. In ihrer Bescheidbeschwerde (VWA ./62, siehe Punkt II.2) begründete die BF2 zunächst ihre Beschwerdelegitimation. Ferner führte die BF2 aus, dass zwischen dem Gegenstand des angefochtenen Teilbescheides und dem Gegenstand des in Aussicht genommenen zweiten Teilbescheides keine Trennbarkeit gemäß § 59 Abs. 1 AVG bestehe. Auch liege eine Verletzung eines Betroffenenrechts nicht vor. Zudem könne eine Feststellung angeblicher, in der Vergangenheit liegender, Verletzungen nicht vorgenommen werden. Auch liege eine Verbandsklagebefugnis nach Art. 80 Abs. 2 DSGVO nicht vor. römisch eins.18. In ihrer Bescheidbeschwerde (VWA ./62, siehe Punkt römisch zwei.2) begründete die BF2 zunächst ihre Beschwerdelegitimation. Ferner führte die BF2 aus, dass zwischen dem Gegenstand des angefochtenen Teilbescheides und dem Gegenstand des in Aussicht genommenen zweiten Teilbescheides keine Trennbarkeit gemäß Paragraph 59, Absatz eins, AVG bestehe. Auch liege eine Verletzung eines Betroffenenrechts nicht vor. Zudem könne eine Feststellung angeblicher, in der Vergangenheit liegender, Verletzungen nicht vorgenommen werden. Auch liege eine Verbandsklagebefugnis nach Artikel 80, Absatz 2, DSGVO nicht vor. Entgegen der Ansicht der bB seien die verfahrensgegenständlichen Daten nicht personenbezogen i.S.d. DSGVO. Begründend führte die BF2 aus, dass sich aus den verarbeiteten Daten kein Bezug zu einer natürlichen Person ergebe. Entsprechend der Rechtsprechung des Europäischen Gerichtshofes (EuGH 20.12.2017, C-434/16 (Nowak), Rn 35) liege weder ein Inhaltselement, ein Zweckelement noch ein Ergebniselement vor. Ferner sei keine Identifizierbarkeit einer natürlichen Person gegeben. Aus der spezifizierten IP-Adresse, den XXXX -spezifischen Zufallszahlen, den Browserparametern und den seiten-bezogenen Daten lasse sich eine bestimmte Person nicht identifizieren. Auch aus einer Kombination dieser Daten sei eine Identifizierung nicht möglich. Weiters habe die BF2 keine technischen Möglichkeiten, den BF1 über sein XXXX -Konto zu identifizieren. Entgegen der Ansicht der bB seien die verfahrensgegenständlichen Daten nicht personenbezogen i.S.d. DSGVO. Begründend führte die BF2 aus, dass sich aus den verarbeiteten Daten kein Bezug zu einer natürlichen Person ergebe. Entsprechend der Rechtsprechung des Europäischen Gerichtshofes (EuGH 20.12.2017, C-434/16 (Nowak), Rn 35) liege weder ein Inhaltselement, ein Zweckelement noch ein Ergebniselement vor. Ferner sei keine Identifizierbarkeit einer natürlichen Person gegeben. Aus der spezifizierten IP-Adresse, den römisch 40 -spezifischen Zufallszahlen, den Browserparametern und den seiten-bezogenen Daten lasse sich eine bestimmte Person nicht identifizieren. Auch aus einer Kombination dieser Daten sei eine Identifizierung nicht möglich. Weiters habe die BF2 keine technischen Möglichkeiten, den BF1 über sein römisch 40 -Konto zu identifizieren. Ferner betonte die BF2 einen risikobasierten Ansatz. Auch wenn man den verfahrensgegenständlichen Daten einen Personenbezug unterstelle, so sei unter Berücksichtigung der Niederschwelligkeit der übermittelten Daten und dem damit sehr geringen Basisrisiko, der Unanwendbarkeit von und des Umstandes, dass FISA 702 ohnehin keine praktische Anwendung finde, keine Offenlegung von Daten gemäß EO 12.333 erfolgt. Da umfangreiche ergänzende Maßnahmen implementiert worden seien, sei ein angemessenes Schutzniveau für die verfahrensgegenständliche Übermittlung der Daten mehr als gegeben und diese nach Art. 44 ff DSGVO zulässig. Ferner betonte die BF2 einen risikobasierten Ansatz. Auch wenn man den verfahrensgegenständlichen Daten einen Personenbezug unterstelle, so sei unter Berücksichtigung der Niederschwelligkeit der übermittelten Daten und dem damit sehr geringen Basisrisiko, der Unanwendbarkeit von und des Umstandes, dass FISA 702 ohnehin keine praktische Anwendung finde, keine Offenlegung von Daten gemäß EO 12.333 erfolgt. Da umfangreiche ergänzende Maßnahmen implementiert worden seien, sei ein angemessenes Schutzniveau für die verfahrensgegenständliche Übermittlung der Daten mehr als gegeben und diese nach Artikel 44, ff DSGVO zulässig. Ihrer Bescheidbeschwerde legte die BF2 die Beilagen Cookies und User Identification (VWA ./63, siehe Punkt II.2), Linker (VWA ./64, siehe Punkt II.2), Report von XXXX (VWA ./65, siehe Punkt II.2) und New EU-US data trasfer framework (VWA ./66, siehe Punkt II.2) bei. Ihrer Bescheidbeschwerde legte die BF2 die Beilagen Cookies und User Identification (VWA ./63, siehe Punkt römisch zwei.2), Linker (VWA ./64, siehe Punkt römisch zwei.2), Report von römisch 40 (VWA ./65, siehe Punkt römisch zwei.2) und New EU-US data trasfer framework (VWA ./66, siehe Punkt römisch zwei.2) bei. I.19. Zur Bescheidbeschwerde der BF2 führte die bB in der Stellungnahme (VWA ./67, siehe Punkt II.2) im Zuge der Aktenvorlage aus, dass die BF2 keine Beschwerdelegitimation habe, da seit Ende April 2021 das Produkt XXXX -Analytics nunmehr von XXXX angeboten werde. Auch erklärte die bB, dass ihr eine Feststellungskompetenz in Beschwerdeverfahren wegen behaupteten Verstößen gegen das DSG oder gegen die DSGVO zukomme.römisch eins.19. Zur Bescheidbeschwerde der BF2 führte die bB in der Stellungnahme (VWA ./67, siehe Punkt römisch zwei.2) im Zuge der Aktenvorlage aus, dass die BF2 keine Beschwerdelegitimation habe, da seit Ende April 2021 das Produkt römisch 40 -Analytics nunmehr von römisch 40 angeboten werde. Auch erklärte die bB, dass ihr eine Feststellungskompetenz in Beschwerdeverfahren wegen behaupteten Verstößen gegen das DSG oder gegen die DSGVO zukomme. Weiters gab die bB an, dass die BF2 offenkundig selbst von einer Vereinbarung personenbezogener Daten ausgehe. Dies erkenne man daran, dass die BF2 mit der MB unstrittig eine Auftragsverarbeitervereinbarung gemäß Art. 28 Abs. 2 DSGVO sowie eine Standarddatenschutzklausel gemäß Art. 46 Abs. 2 lit. c DSGVO abgeschlossen habe. Auch habe die BF2 ausgeführt, dass ein Website-Betreiber in allen Fällen Standarddatenschutzklauseln mit der BF2 abschließe (VWA ./31, Seite 3). Auch deklariere die BF2 selbst, dass Online-Kennzeichnungen personenbezogene Daten seien (siehe Punkt II.1.3.6). Unabhängig von diesen Erklärungen bzw. Verhaltensweisen der BF2 würden verfahrensgegenständlich unter Berücksichtigung der Judikatur des Europäischen Gerichtshofes und Erklärungen des Europäischen Datenschutzbeauftragten (VWA ./68) personenbezogene Daten vorliegen. Auch könne im vorliegenden Fall eine Zuordnung über die IP-Adresse vorgenommen werden. Zudem könne auch mit Browserinformationen eine Kombination vorgenommen werden. In diesem Zusammenhang verwies die bB auf die Definition von „Fingerprinting“: Dies sei ein Vorgang, bei dem ein Beobachter ein Gerät oder eine Anwendungsinstanz mit ausreichender Wahrscheinlichkeit auf Grundlage mehrerer Informationselemente identifizieren könne. Weiters gab die bB an, dass die BF2 offenkundig selbst von einer Vereinbarung personenbezogener Daten ausgehe. Dies erkenne man daran, dass die BF2 mit der MB unstrittig eine Auftragsverarbeitervereinbarung gemäß Artikel 28, Absatz 2, DSGVO sowie eine Standarddatenschutzklausel gemäß Artikel 46, Absatz 2, Litera c, DSGVO abgeschlossen habe. Auch habe die BF2 ausgeführt, dass ein Website-Betreiber in allen Fällen Standarddatenschutzklauseln mit der BF2 abschließe (VWA ./31, Seite 3). Auch deklariere die BF2 selbst, dass Online-Kennzeichnungen personenbezogene Daten seien (siehe Punkt römisch zwei.1.3.6). Unabhängig von diesen Erklärungen bzw. Verhaltensweisen der BF2 würden verfahrensgegenständlich unter Berücksichtigung der Judikatur des Europäischen Gerichtshofes und Erklärungen des Europäischen Datenschutzbeauftragten (VWA ./68) personenbezogene Daten vorliegen. Auch könne im vorliegenden Fall eine Zuordnung über die IP-Adresse vorgenommen werden. Zudem könne auch mit Browserinformationen eine Kombination vorgenommen werden. In diesem Zusammenhang verwies die bB auf die Definition von „Fingerprinting“: Dies sei ein Vorgang, bei dem ein Beobachter ein Gerät oder eine Anwendungsinstanz mit ausreichender Wahrscheinlichkeit auf Grundlage mehrerer Informationselemente identifizieren könne. Schließlich widerlegte die bB ausführlich den aufgezeigten risikobasierten Ansatz der BF2 und wies darauf hin, dass wirtschaftliche Interessen keine Rolle bei der Entscheidung des Europäischen Gerichtshofes am 16.07.2020, C-311/18 (Schrems II) spielten. Schließlich widerlegte die bB ausführlich den aufgezeigten risikobasierten Ansatz der BF2 und wies darauf hin, dass wirtschaftliche Interessen keine Rolle bei der Entscheidung des Europäischen Gerichtshofes am 16.07.2020, C-311/18 (Schrems römisch zwei) spielten. Seiner Stellungnahme legte die bB eine Entscheidung des Europäischen Datenschutzbeauftragten vom 05.01.2022 (VWA ./68, siehe Punkt II.2), eine Entscheidung des LG München (VWA ./69, siehe Punkt II.2), ein Gutachten zum aktuellen Stand des US-Überwachungsrechts (VWA ./70, siehe Punkt II.2) sowie wesentliche Befund des Gutachtens zum aktuellen Stand des US-Überwachungsrechts (VWA ./71, siehe Punkt II.2) bei. Seiner Stellungnahme legte die bB eine Entscheidung des Europäischen Datenschutzbeauftragten vom 05.01.2022 (VWA ./68, siehe Punkt römisch zwei.2), eine Entscheidung des LG München (VWA ./69, siehe Punkt römisch zwei.2), ein Gutachten zum aktuellen Stand des US-Überwachungsrechts (VWA ./70, siehe Punkt römisch zwei.2) sowie wesentliche Befund des Gutachtens zum aktuellen Stand des US-Überwachungsrechts (VWA ./71, siehe Punkt römisch zwei.2) bei. I.20. In seiner Bescheidbeschwerde (VWA ./60, siehe Punkt II.2) führte der BF1 aus, dass die bB die Abweisung in Spruchpunkt 3. mit einer verfehlten Wortinterpretation des Art. 44 DSGVO begründe. Soweit die bB ihre Abweisung damit begründe, dass die BF2 als Empfänger der personenbezogenen Daten im Drittland Vereinigte Staaten (Datenimporteur) die Daten nicht offenlege, sondern sie (nur) erhalte, verkenne die bB, dass Art. 44 DSGVO den Begriff „Offenlegung“ nicht verwende. Art. 44 DSGVO verwende den Begriff „Übermittlung“. Die Unterscheidung zwischen diesen Begriffen sei gegenständlich entscheidend: Im Gegensatz zu einer „Offenlegung“, die auch ohne einen designierten Empfänger geschehen könne (etwa durch Veröffentlichung auf einer Website) benötige eine „Übermittlung“ (bzw. eine „Offenlegung durch Übermittlung“) nämlich stets einen Empfänger und auch dessen (zumindest minimales) Zutun. Während eine „Offenlegung“ mit dem Akt des „Verfügbarmachens“ abgeschlossen sei, verlange eine „Übermittlung“ auch eine Entgegennahme durch den Empfänger. römisch eins.20. In seiner Bescheidbeschwerde (VWA ./60, siehe Punkt römisch zwei.2) führte der BF1 aus, dass die bB die Abweisung in Spruchpunkt 3. mit einer verfehlten Wortinterpretation des Artikel 44, DSGVO begründe. Soweit die bB ihre Abweisung damit begründe, dass die BF2 als Empfänger der personenbezogenen Daten im Drittland Vereinigte Staaten (Datenimporteur) die Daten nicht offenlege, sondern sie (nur) erhalte, verkenne die bB, dass Artikel 44, DSGVO den Begriff „Offenlegung“ nicht verwende. Artikel 44, DSGVO verwende den Begriff „Übermittlung“. Die Unterscheidung zwischen diesen Begriffen sei gegenständlich entscheidend: Im Gegensatz zu einer „Offenlegung“, die auch ohne einen designierten Empfänger geschehen könne (etwa durch Veröffentlichung auf einer Website) benötige eine „Übermittlung“ (bzw. eine „Offenlegung durch Übermittlung“) nämlich stets einen Empfänger und auch dessen (zumindest minimales) Zutun. Während eine „Offenlegung“ mit dem Akt des „Verfügbarmachens“ abgeschlossen sei, verlange eine „Übermittlung“ auch eine Entgegennahme durch den Empfänger. In juristischer Hinsicht verdeutliche die Gestaltung von Kapitel V DSGVO die technische Realität (gemeint, dass für die Übertragung im Internet stets ein Zusammenwirken eines Senders und eines Empfängers erforderlich ist). Bereits Art. 44 DSGVO verlange generell von „Verantwortlichem und der Auftragsverarbeiter“ die Einhaltung der Bestimmungen des Kapitels, ohne dies auf den „die Daten exportierenden Verantwortlichen oder Auftragsverarbeiter“ zu beschränken. Auch die in Art. 46

(2)DSGVO genannten Garantien verlangen durchwegs ein Zusammenwirken von Datenexporteur und Datenimporteur und beinhalten insbesondere auch Verpflichtungen des Datenimporteurs. Richtigerweise seien auch hier sowohl der Datenexporteur, als auch der Datenimporteur zur Befolgung der genannten Bestimmungen verpflichtet, da sie gemeinsam Daten aus der EU hinaus in das Drittland und vom Drittland in die EU übermitteln würden.In juristischer Hinsicht verdeutliche die Gestaltung von Kapitel römisch fünf DSGVO die technische Realität (gemeint, dass für die Übertragung im Internet stets ein Zusammenwirken eines Senders und eines Empfängers erforderlich ist). Bereits Artikel 44, DSGVO verlange generell von „Verantwortlichem und der Auftragsverarbeiter“ die Einhaltung der Bestimmungen des Kapitels, ohne dies auf den „die Daten exportierenden Verantwortlichen oder Auftragsverarbeiter“ zu beschränken. Auch die in Artikel 46 (, 2,) DSGVO genannten Garantien verlangen durchwegs ein Zusammenwirken von Datenexporteur und Datenimporteur und beinhalten insbesondere auch Verpflichtungen des Datenimporteurs. Richtigerweise seien auch hier sowohl der Datenexporteur, als auch der Datenimporteur zur Befolgung der genannten Bestimmungen verpflichtet, da sie gemeinsam Daten aus der EU hinaus in das Drittland und vom Drittland in die EU übermitteln würden. Zudem sei zu beachten, dass auch Verpflichtungen aus den Standardvertragsklauseln (Durchführungsbeschluss der Europäischen Kommission 2010/87/EU vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates) für den Datenimporteur zu entnehmen seien. Klausel 3

(2)enthalte eindeutig eine subsidiäre Verpflichtung des Datenimporteurs, die Klauseln 5(a) bis (e), 6, 7, 8

(2)und 9 bis 12 der Standardvertragsklauseln der betroffenen Person gegenüber zu befolgen, wenn das Unternehmen des Datenexporteurs faktisch oder rechtlich nicht mehr bestehe und kein Rechtsnachfolger die Pflichten des Datenexporteurs übernommen habe. Wäre Kapitel V DSGVO nicht auch auf den Datenimporteur anwendbar, wäre die Durchsetzung der subjektiven Rechte der betroffenen Person aus den Standardvertragsklauseln gegenüber dem Datenimporteur unmöglich.Zudem sei zu beachten, dass auch Verpflichtungen aus den Standardvertragsklauseln (Durchführungsbeschluss der Europäischen Kommission 2010/87/EU vom 5. Februar 2010 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates) für den Datenimporteur zu entnehmen seien. Klausel 3

(2)enthalte eindeutig eine subsidiäre Verpflichtung des Datenimporteurs, die Klauseln 5(a) bis (e), 6, 7, 8

Zur Bescheidbeschwerde des BF1 führte die bB in der Stellungnahme (VWA ./61, siehe Punkt II.2) im Zuge der Aktenvorlage aus, dass es aus technischer Sicht korrekt sei, dass eine Übermittlung (anders als eine Offenlegung an einen unbestimmten Adressatenkreis, etwa in Form einer Veröffentlichung auf einer Website) voraussetze, dass es einen Empfänger gäbe. Wie jedoch bereits im angefochtenen Bescheid ausgeführt sei, können sich bei einem Verarbeitungsvorgang (hier also bei der „Übermittlung“) aus rechtlicher Sicht unterschiedliche Pflichten und Grade der Verantwortung ergeben (VWA ./59, Seite 40). In Einklang mit den „Leitlinien 5/2021 des EDSA zum Verhältnis zwischen dem Anwendungsbereich von Art. 3 und den Vorgaben für den Internationalen Datenverkehr gemäß Kapitel V DSGVO“ gehe die bB davon aus, dass den Datenimporteur nicht die rechtliche Verpflichtung treffe, die Vorgaben von Art. 44 DSGVO einzuhalten.römisch eins.
Zur Bescheidbeschwerde des BF1 führte die bB in der Stellungnahme (VWA ./61, siehe Punkt römisch zwei.2) im Zuge der Aktenvorlage aus, dass es aus technischer Sicht korrekt sei, dass eine Übermittlung (anders als eine Offenlegung an einen unbestimmten Adressatenkreis, etwa in Form einer Veröffentlichung auf einer Website) voraussetze, dass es einen Empfänger gäbe. Wie jedoch bereits im angefochtenen Bescheid ausgeführt sei, können sich bei einem Verarbeitungsvorgang (hier also bei der „Übermittlung“) aus rechtlicher Sicht unterschiedliche Pflichten und Grade der Verantwortung ergeben (VWA ./59, Seite 40). In Einklang mit den „Leitlinien 5 aus 2021, des EDSA zum Verhältnis zwischen dem Anwendungsbereich von Artikel 3 und den Vorgaben für den Internationalen Datenverkehr gemäß Kapitel römisch fünf DSGVO“ gehe die bB davon aus, dass den Datenimporteur nicht die rechtliche Verpflichtung treffe, die Vorgaben von Artikel 44, DSGVO einzuhalten. Schließlich sei festzuhalten, dass dem Datenimporteur selbstverständlich auch entsprechende Pflichten treffen würden. Im Falle des Abschlusses von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO habe ein Datenimporteur sämtliche vertraglichen Verpflichtungen einzuhalten, die zwischen diesem und seinem Vertragspartner abgeschlossen worden seien. Diese Verpflichtungen seien aber vertraglicher Natur. Hingegen habe (nur) der Datenexporteur die Verpflichtungen aus Art. 44 DSGVO einzuhalten, wozu auch zähle, dass ein passendes Instrument – wie etwa der Abschluss von Standardvertragsklauseln – vorhanden sei, um ein angemessenes Schutzniveau zu gewährleisten.Schließlich sei festzuhalten, dass dem Datenimporteur selbstverständlich auch entsprechende Pflichten treffen würden. Im Falle des Abschlusses von Standardvertragsklauseln nach Artikel 46, Absatz 2, Litera c, DSGVO habe ein Datenimporteur sämtliche vertraglichen Verpflichtungen einzuhalten, die zwischen diesem und seinem Vertragspartner abgeschlossen worden seien. Diese Verpflichtungen seien aber vertraglicher Natur. Hingegen habe (nur) der Datenexporteur die Verpflichtungen aus Artikel 44, DSGVO einzuhalten, wozu auch zähle, dass ein passendes Instrument – wie etwa der Abschluss von Standardvertragsklauseln – vorhanden sei, um ein angemessenes Schutzniveau zu gewährleisten. I.
Mit Eingabe vom 08.07.2022 übermittelte die BF2 eine Replik zur Bescheidbeschwerde des BF1 (OZ 4 zu W245 2252208-1). Darin begründete die BF2 ausführlich, dass Art. 44 ff DSGVO nicht auf XXXX als Datenimporteurin anwendbar sei. römisch eins.
Mit Eingabe vom 08.07.2022 übermittelte die BF2 eine Replik zur Bescheidbeschwerde des BF1 (OZ 4 zu W245 2252208-1). Darin begründete die BF2 ausführlich, dass Artikel 44, ff DSGVO nicht auf römisch 40 als Datenimporteurin anwendbar sei. I.
In seiner Stellungnahme vom 13.01.2022 (OZ 4 zu W245 2252208-1) verwies der BF2 wiederholt darauf hin, dass verfahrensgegenständlich personenbezogene Daten verarbeitet worden seien. Zudem führte der BF2 aus, dass aus Art. 44 ff DSGVO ein risikobasierter Ansatz nicht zu entnehmen sei. Ferner führte der BF2 mit näherer Begründung aus, dass auch die BF1 als Datenimporteuer von Kapitel V DSGVO unmittelbar erfasst sei. römisch eins.
In seiner Stellungnahme vom 13.01.2022 (OZ 4 zu W245 2252208-1) verwies der BF2 wiederholt darauf hin, dass verfahrensgegenständlich personenbezogene Daten verarbeitet worden seien. Zudem führte der BF2 aus, dass aus Artikel 44, ff DSGVO ein risikobasierter Ansatz nicht zu entnehmen sei. Ferner führte der BF2 mit näherer Begründung aus, dass auch die BF1 als Datenimporteuer von Kapitel römisch fünf DSGVO unmittelbar erfasst sei. I.
Mit Stellungnahme vom 14.02.2023 (OZ 15 zu W245 2252208-1) führte die BF2 aus, dass aufgrund der spruchmäßigen Feststellungen eine Bindungswirkung bestehe. Insbesondere, dass im Spruch festgestellt worden sei, dass personenbezogene Daten übertragen worden seien, habe evidente Auswirkungen auf weitere Verfahren bei der bB zur Folge. Die BF2 könne diesen Umstand in den weiteren Verfahren nicht wiederlegen. römisch eins.
Mit Stellungnahme vom 14.02.2023 (OZ 15 zu W245 2252208-1) führte die BF2 aus, dass aufgrund der spruchmäßigen Feststellungen eine Bindungswirkung bestehe. Insbesondere, dass im Spruch festgestellt worden sei, dass personenbezogene Daten übertragen worden seien, habe evidente Auswirkungen auf weitere Verfahren bei der bB zur Folge. Die BF2 könne diesen Umstand in den weiteren Verfahren nicht wiederlegen. Zum Personenbezug führte die BF2 wiederholend aus, dass dieser nicht vorliege. Dazu wurden auch zwei eidesstattliche Erklärungen vorgebracht, die belegen sollen, dass die BF2 nicht in der Lage gewesen sei, über das XXXX -Konto des BF1 einen Zugriff auf die Website der MB zu belegen. Auch sei es rechtlich erforderlich, einen risikobasierten Ansatz zu berücksichtigen.Zum Personenbezug führte die BF2 wiederholend aus, dass dieser nicht vorliege. Dazu wurden auch zwei eidesstattliche Erklärungen vorgebracht, die belegen sollen, dass die BF2 nicht in der Lage gewesen sei, über das römisch 40 -Konto des BF1 einen Zugriff auf die Website der MB zu belegen. Auch sei es rechtlich erforderlich, einen risikobasierten Ansatz zu berücksichtigen. I.
Zur Vorbereitung der Beschwerdeverhandlung übermittelten die bB (OZ 23 zu W245 2252208-1), der BF1 (OZ 24 zu W245 2252208-1) und BF2 (OZ 25 zu W245 2252208-1) Stellungnahmen. In diesen Stellungnahmen bekräftigten die Parteien ihre bisher im Verfahren vertretenen Standpunkte.römisch eins.
Zur Vorbereitung der Beschwerdeverhandlung übermittelten die bB (OZ 23 zu W245 2252208-1), der BF1 (OZ 24 zu W245 2252208-1) und BF2 (OZ 25 zu W245 2252208-1) Stellungnahmen. In diesen Stellungnahmen bekräftigten die Parteien ihre bisher im Verfahren vertretenen Standpunkte. I.
Das BVwG führte in der gegenständlichen Rechtssache am 31.03.2023 eine öffentliche mündliche Verhandlung durch, an der der BF1 im Beisein seines bevollmächtigten Vertreters persönlich teilnahm. Ebenso nahm ein Vertreter der bB und der BF2 an der Verhandlung teil. Nach Schluss der mündlichen Verhandlung erfolgte eine mündliche Verkündung des Erkenntnisses. Der BF1 und die BF2 beantragten fristgerecht beim BVwG die schriftliche Ausfertigung des mündlich verkündeten Erkenntnisses.römisch eins.
Das BVwG führte in der gegenständlichen Rechtssache am 31.03.2023 eine öffentliche mündliche Verhandlung durch, an der der BF1 im Beisein seines bevollmächtigten Vertreters persönlich teilnahm. Ebenso nahm ein Vertreter der bB und der BF2 an der Verhandlung teil. Nach Schluss der mündlichen Verhandlung erfolgte eine mündliche Verkündung des Erkenntnisses. Der BF1 und die BF2 beantragten fristgerecht beim BVwG die schriftliche Ausfertigung des mündlich verkündeten Erkenntnisses. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen: II.
Feststellungen:römisch zwei.
Feststellungen: Der entscheidungsrelevante Sachverhalt steht fest. II.1.
Zum Verfahrensgang: römisch zwei.1.
Zum Verfahrensgang: Der unter Punkt I dargestellte Verfahrensgang wird festgestellt und der Entscheidung zu Grunde gelegt.Der unter Punkt römisch eins dargestellte Verfahrensgang wird festgestellt und der Entscheidung zu Grunde gelegt. II.1.
Zum Inhaber der Website XXXX :römisch zwei.1.
Zum Inhaber der Website römisch 40 : Die XXXX hat die Website XXXX im Rahmen eines Asset Deals mit der Wirkung zum 01.02.2021 auf die XXXX , München übertragen. Im Anschluss wurde die XXXX in XXXX umbenannt. Die römisch 40 hat die Website römisch 40 im Rahmen eines Asset Deals mit der Wirkung zum 01.02.2021 auf die römisch 40 , München übertragen. Im Anschluss wurde die römisch 40 in römisch 40 umbenannt. Bis August 2021 betreute die XXXX weiterhin im Auftrag und unter Weisung der XXXX , München die Website XXXX . Bis August 2021 betreute die römisch 40 weiterhin im Auftrag und unter Weisung der römisch 40 , München die Website römisch 40 . Im August 2021 erfolgte die komplette Übertragung der Website XXXX in die IT Umgebung der XXXX München. Nach der Übertragung wird XXXX -Analytics mit einem vorgeschalteten Proxy-Server eingesetzt. Dadurch wird eine Übermittlung der IP-Adressen an die BF2 sogar gänzlich unterbunden. Im August 2021 erfolgte die komplette Übertragung der Website römisch 40 in die IT Umgebung der römisch 40 München. Nach der Übertragung wird römisch 40 -Analytics mit einem vorgeschalteten Proxy-Server eingesetzt. Dadurch wird eine Übermittlung der IP-Adressen an die BF2 sogar gänzlich unterbunden. II.1.
Zur verfahrensgegenständlichen Datenverarbeitung:römisch zwei.1.
Zur verfahrensgegenständlichen Datenverarbeitung: Der BF1 besuchte zumindest am
August 2020, um 10:45 Uhr, die Website der MB XXXX . Der BF1 besuchte zumindest am
August 2020, um 10:45 Uhr, die Website der MB römisch 40 . In der Transaktion zwischen dem Browser des BF1 und https://tracking. XXXX wurden am
August 2020 um 12:46:19.344 MEZ einzigartige Nutzer-Identifikations-Nummern zumindest in den Cookies „_ga“ und „_gid“ gesetzt. In Folge wurden diese Kennnummern am
August 2020 um 12:46:19.948 MEZ an https://www. XXXX -analytics.com/ und somit an die BF2 übermittelt.In der Transaktion zwischen dem Browser des BF1 und https://tracking. römisch 40 wurden am
August 2020 um 12:46:19.344 MEZ einzigartige Nutzer-Identifikations-Nummern zumindest in den Cookies „_ga“ und „_gid“ gesetzt. In Folge wurden diese Kennnummern am
August 2020 um 12:46:19.948 MEZ an https://www. römisch 40 -analytics.com/ und somit an die BF2 übermittelt. Konkret wurden folgende Nutzer-Identifikations-Nummern, die sich im Browser des BF1 befinden, an die BF2 übermittelt (gleiche Werte, die jeweils in verschiedenen Transaktionen aufgetreten sind, wurden jeweils kursiv dargestellt bzw. orange und grün gekennzeichnet): Domain Name Wert Zweck https://tracking. XXXX https://tracking. römisch 40 _ga GA1.2.1284433117.1597223478 XXXX Analytics römisch 40 Analytics https://tracking. XXXX https://tracking. römisch 40 _gid GA1.2.929316258.1597394734 XXXX Analytics römisch 40 Analytics https://tracking. XXXX https://tracking. römisch 40 _gads ID=d77676ed5b074d05:T=1597223569: S=ALNI_MZcJ9EjC13lsaY1Sn8Qu5ovyKMhPw XXXX Werbung römisch 40 Werbung https://www. XXXX -analytics.com/https://www. römisch 40 -analytics.com/ _gid 929316258.1597394734 XXXX Analytics römisch 40 Analytics https://www. XXXX -analytics.com/https://www. römisch 40 -analytics.com/ cid 1284433117.1597223478 XXXX Analytics römisch 40 Analytics Diese Kennnummern enthalten jeweils eine vorangestellte Zufallszahl und am Ende einen UNIX-Zeitstempel, aus dem sich ergibt, wann das jeweilige Cookie gesetzt wurde. Die Kennnummer im _gid-Cookie mit dem UNIX-Zeitstempel „1597394734“ wurde am Mittwoch,
August 2020, um 11:11 und 18 Sekunden MEZ gesetzt, jene im cid-Cookie mit dem UNIX-Zeitstempel „1597223478“ am Freitag, 12 August 2020, um 10:45 und 34 Sekunden MEZ. Mithilfe dieser Kennnummern ist es für die BF2 möglich, Website-Besucher zu unterscheiden und auch die Information zu erhalten, ob es sich um einen neuen oder um einen wiederkehrenden Website-Besucher von www. XXXX handelt. Jedoch ist eine Website-übergreifende Analyse des Verhaltens auf Basis dieser Kennzahl nicht möglich.Mithilfe dieser Kennnummern ist es für die BF2 möglich, Website-Besucher zu unterscheiden und auch die Information zu erhalten, ob es sich um einen neuen oder um einen wiederkehrenden Website-Besucher von www. römisch 40 handelt. Jedoch ist eine Website-übergreifende Analyse des Verhaltens auf Basis dieser Kennzahl nicht möglich. Darüber hinaus wurden jedenfalls auch folgende Informationen (Parameter) über den Browser des BF1 im Zuge von Anfragen (Requests) an https://www. XXXX -analytics.com/collect an den BF2 übermittelt (Auszug aus der HAR-Datei, Request URL https://www. XXXX -analytics.com/collect, Auszug der Anfrage mit Zeitstempel 2020-08-14T10:46:19.924+02:00):Darüber hinaus wurden jedenfalls auch folgende Informationen (Parameter) über den Browser des BF1 im Zuge von Anfragen (Requests) an https://www. römisch 40 -analytics.com/collect an den BF2 übermittelt (Auszug aus der HAR-Datei, Request URL https://www. römisch 40 -analytics.com/collect, Auszug der Anfrage mit Zeitstempel 2020-08-14T10:46:19.924+02:00): General  Request URL https://www. XXXX -analytics.com/collect Request URL https://www. römisch 40 -analytics.com/collect  Request Method GET  HTTP Version HTTP/2  Remote Address XXXX  Remote Address römisch 40 Headers  Accept: image/webp,*/*  Accept-Encoding: gzip, deflate, br  Accept-Language: en-US,de;q=0.7,en;q=0.3  Connection: keep-alive  Host: www. XXXX -analytics.com Host: www. römisch 40 -analytics.com  Referer: https://www. XXXX .at/ Referer: https://www. römisch 40 .at/  TE: Trailers  User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:79.0) Gecko/20100101 Firefox/79.0 Query Arguments  _gid: 929316258.1597394734  _s: 1  _u: QACAAEAB~  _v: j83  a: 443943525  cid: 1284433117.1597223478  de: UTF-8  dl: https://www. XXXX .at/ dl: https://www. römisch 40 .at/  dt: XXXX .at Startseite - XXXX  dt: römisch 40 .at Startseite - römisch 40  ea: /  ec: Scrolltiefe  el: 25  gjid:  gtm: 2wg871PHBM94Q  je: 0  jid:  ni: 0  sd: 24-bit  sr: 1280x1024  t: event  tid: UA-259349-1  ul: en-us  v: 1  vp: 1263x882  z: 1764878454 Size  Headers 677 bytes  Body 0 bytes  Total 677 bytes Aus diesen Parametern können somit Rückschlüsse auf den verwendeten Browser, die Browsereinstellungen, Sprachauswahl, die besuchte Website, die Farbtiefe, die Bildschirmauflösung und die AdSense-Linking-Nummer gezogen werden. Bei der Remote Adresse XXXX handelt es sich um jene der BF2.Bei der Remote Adresse römisch 40 handelt es sich um jene der BF
Die IP-Adresse des Geräts des BF1 wird im Rahmen dieser Anfragen an https://www. XXXX -analytics.com/collect an die BF2 übermittelt. Verfahrensgegenständlich wurde die IP-Adresse des BF1 an die BF2 übermittelt. Die IP-Adresse des Geräts des BF1 wird im Rahmen dieser Anfragen an https://www. römisch 40 -analytics.com/collect an die BF2 übermittelt. Verfahrensgegenständlich wurde die IP-Adresse des BF1 an die BF2 übermittelt. Der BF1 hat am 14.08.2020 im Homeoffice gearbeitet. Im Homeoffice nützt der BF2 einen Bildschirm mit einer Auflösung von 1280x1024 (sr-Wert). Zudem wurde dem sichtbaren Teil des Webfensters eine Größe von 1263x882 (vp-Wert) übermittelt. II.1.3.
Zur zusammenfassenden Darstellung der Informationen, welche am 14.08.2020 der BF2 übermittelt wurden: römisch zwei.1.3.
Zur zusammenfassenden Darstellung der Informationen, welche am 14.08.2020 der BF2 übermittelt wurden: Als Folge der Implementierung des Tools XXXX -Analytics wurden am 14.08.2020 – zusammengefasst – folgende Informationen vom Browser des BF1, der die Website XXXX besucht hat, an die Server der BF2 übermittelt:Als Folge der Implementierung des Tools römisch 40 -Analytics wurden am 14.08.2020 – zusammengefasst – folgende Informationen vom Browser des BF1, der die Website römisch 40 besucht hat, an die Server der BF2 übermittelt: ● einzigartige Online-Kennungen (unique identifier), die sowohl den Browser bzw. das Gerät des BF1 als auch die MB (durch die XXXX -Analytics-Account-ID der MB als Websitebetreiberin) identifizieren;  einzigartige Online-Kennungen (unique identifier), die sowohl den Browser bzw. das Gerät des BF1 als auch die MB (durch die römisch 40 -Analytics-Account-ID der MB als Websitebetreiberin) identifizieren; ● die Adresse und den HTML-Titel der Website sowie die Unterseiten, die der BF1 besucht hat; ● Informationen zum Browser, Betriebssystem, Bildschirmauflösung, Sprachauswahl sowie Datum und Uhrzeit des Website-Besuchs; ● die IP-Adresse des Geräts, welches der BF1 verwendet hat. II.1.3.
Zu Informationen zu den verwendeten Cookies:römisch zwei.1.3.
Zu Informationen zu den verwendeten Cookies: Für Universal Analytics kann die JavaScript-Bibliothek analytics.js oder die JavaScript-Bibliothek gtag.js verwendet werden. In beiden Fällen verwenden die Bibliotheken first-party-Cookies, um: ● Eindeutige Benutzer zu unterscheiden und ● die Anfragerate zu drosseln Bei Verwendung des empfohlenen JavaScript-Snippets werden Cookies auf der höchstmöglichen Domain-Ebene gesetzt. Wenn ihre Website-Adresse zum Beispiel blog.example.co.uk lautet, setzen analytics.js und gtag.js die Cookie-Domain auf.example.co.uk. Das Setzen von Cookies auf der höchstmöglichen Domain-Ebene ermöglicht die Messung über Subdomains hinweg, ohne dass eine zusätzliche Konfiguration erforderlich ist. Hinweis: gtag.js und analytics.js erfordern kein Setzen von Cookies, um Daten an XXXX -Analytics zu übertragen.Hinweis: gtag.js und analytics.js erfordern kein Setzen von Cookies, um Daten an römisch 40 -Analytics zu übertragen. gtag.js und analytics.js setzen die folgenden Cookies: Standard-Ablaufzeit Beschreibung _ga 2 Jahre Wird zur Unterscheidung von Benutzern verwendet. _gid 24 Stunden Wird zur Unterscheidung von Nutzern verwendet. _gat 1 Minute Wird verwendet, um die Anfragerate zu drosseln. Wenn XXXX Analytics über den XXXX Tag Manager eingesetzt wird, wird dieses Cookie _dc_gtm_<property- id> genannt.Wird verwendet, um die Anfragerate zu drosseln. Wenn römisch 40 Analytics über den römisch 40 Tag Manager eingesetzt wird, wird dieses Cookie _dc_gtm_<property- id> genannt. AMP_TOKEN 30 Sekunden bis 1 Jahr Enthält ein Token, das zum Abrufen einer Client-ID vom AMP-Client-ID-Dienst verwendet werden kann. Andere mögliche Werte zeigen Optout, Inflight-Anfrage oder einen Fehler beim Abrufen einer Client-ID vom AMP-Client-ID-Dienst an. _gac_<property-id> 90 Tage Enthält kampagnenbezogene Informationen für den Benutzer. Wenn Sie Ihre XXXX Analytics- und XXXX Ads-Konten verknüpft haben, lesen die Website-Conversion-Tags von XXXX Ads dieses Cookie, sofern Sie sich nichtabmelden.Enthält kampagnenbezogene Informationen für den Benutzer. Wenn Sie Ihre römisch 40 Analytics- und römisch 40 Ads-Konten verknüpft haben, lesen die Website-Conversion-Tags von römisch 40 Ads dieses Cookie, sofern Sie sich nichtabmelden. II.1.3.
Zur Verknüpfung mit dem XXXX -Konto des BF1:römisch zwei.1.3.
Zur Verknüpfung mit dem römisch 40 -Konto des BF1: Während des Besuchs auf der Website XXXX war der BF1 in seinem XXXX -Konto eingeloggt, welches mit der E-Mail-Adresse XXXX verknüpft ist. Diese E-Mail-Adresse gehört dem BF
Während des Besuchs auf der Website römisch 40 war der BF1 in seinem römisch 40 -Konto eingeloggt, welches mit der E-Mail-Adresse römisch 40 verknüpft ist. Diese E-Mail-Adresse gehört dem BF
Bei einem XXXX -Konto handelt es sich um ein Benutzerkonto, welches zur Authentifizierung bei verschiedenen XXXX -Onlinediensten der BF2 dient. So ist ein XXXX -Konto etwa Voraussetzung für die Nutzung von Diensten wie „ XXXX “ oder „ XXXX Drive“ (ein Filehosting-Dienst).Bei einem römisch 40 -Konto handelt es sich um ein Benutzerkonto, welches zur Authentifizierung bei verschiedenen römisch 40 -Onlinediensten der BF2 dient. So ist ein römisch 40 -Konto etwa Voraussetzung für die Nutzung von Diensten wie „ römisch 40 “ oder „ römisch 40 Drive“ (ein Filehosting-Dienst). Am 14.08.2020 war im XXXX -Konto des BF1 ( XXXX ) die Web-&-App Aktivitäten Einstellung aktiviert. Allerdings hat das XXXX -Konto des BF1 sich dagegen entschieden, Aktivitäten von Websites einzuschließen, die XXXX -Dienste nutzen. Am 14.08.2020 war im römisch 40 -Konto des

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.

{'item': 'W245 2252208-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum12.05.2023 GeschäftszahlW245 2252208-1 Spruch, W245 2252208-1/36E W245 2252221-1/30E Schriftliche Ausfertigung des am 31.03.2023 mündlich

§ 1881a

§ 1881a(b)

§ 1881a

§ 1881aaktiv personenbezogene Daten zur Verfügung.

§ 1881a

§ 1881(b)

§ 1881a