RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum24.01.2024 GeschäftszahlW176 2265906-1 Spruch, W176 2265906-1/10E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

Art. 133Abs.

4 B-VG nicht zulässig.B) Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgangrömisch eins. Verfahrensgang

1. Mit gemeinsamer Eingabe vom 15.02.2022 an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) erhoben die mitbeteiligten Parteien (MP) unter Vorlage mehrerer Dokumente Datenschutzbeschwerde gegen die nunmehrige Beschwerdeführerin (BF), in der sie eine Verletzung im Grundrecht auf Privatsphäre und in ihrem Recht auf Nichtverarbeitung ihrer personenbezogenen Daten behaupteten. Zusammengefasst brachten die MP vor, dass die BF auf Grund des Verdachtes eines innerbetrieblichen Verstoßes gegen die Verschwiegenheitsverpflichtung sämtliche E-Mail-Konten und Postfächer ihrer rund 6.000 MitarbeiterInnen mit der Domain „ XXXX “ auf E-Mails an die Domain „ XXXX “ im Auswertungszeitraum von 30.
2. bis 15.08.2020 durchsucht habe. Weiters wurde beantragt, die BF zur Vernichtung der durch die Durchsuchung der E-Mail-Accounts gewonnenen Ergebnisse zu verpflichten.
3. Mit gemeinsamer Eingabe vom 15.02.2022 an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) erhoben die mitbeteiligten Parteien (MP) unter Vorlage mehrerer Dokumente Datenschutzbeschwerde gegen die nunmehrige Beschwerdeführerin (BF), in der sie eine Verletzung im Grundrecht auf Privatsphäre und in ihrem Recht auf Nichtverarbeitung ihrer personenbezogenen Daten behaupteten. Zusammengefasst brachten die MP vor, dass die BF auf Grund des Verdachtes eines innerbetrieblichen Verstoßes gegen die Verschwiegenheitsverpflichtung sämtliche E-Mail-Konten und Postfächer ihrer rund 6.000 MitarbeiterInnen mit der Domain „ römisch 40 “ auf E-Mails an die Domain „ römisch 40 “ im Auswertungszeitraum von 30.
4. bis 15.08.2020 durchsucht habe. Weiters wurde beantragt, die BF zur Vernichtung der durch die Durchsuchung der E-Mail-Accounts gewonnenen Ergebnisse zu verpflichten.
5. Mit Schriftsätzen vom
6. und 11.04.2022 nahm die BF unter Vorlage mehrerer Dokumente wie folgt zur Datenschutzbeschwerde Stellung: Es habe keine Datenrecherche in den E-Mail-Konten stattgefunden; vielmehr seien die Protokolldaten des E-Mail-Systems ausgewertet worden. Am 15.08.2020 seien auf der Website „ XXXX “ unter dem Titel „ XXXX “ Informationen aus einem vertraulichen internen Dokument der BF, dem wörtlichen Transkript der Aufzeichnung einer Sitzung und darin enthaltene personenbezogene Daten von Sitzungsteilnehmern (deren vollständige Namen und Aussagen, die diesen Personen zuzuordnen waren) veröffentlicht worden. Aufgrund eines Vergleichs des wörtlichen Transkripts mit den veröffentlichten Textpassagen habe festgestellt werden können, dass mehrere längere Textstellen im Wortlaut völlig identisch gewesen seien. Hierdurch sei eine Verletzung des Geschäftsgeheimnisses, verbunden mit einer Verletzung der Vertraulichkeit im Hinblick auf personenbezogene Daten, erwiesen. Es habe keine Datenrecherche in den E-Mail-Konten stattgefunden; vielmehr seien die Protokolldaten des E-Mail-Systems ausgewertet worden. Am 15.08.2020 seien auf der Website „ römisch 40 “ unter dem Titel „ römisch 40 “ Informationen aus einem vertraulichen internen Dokument der BF, dem wörtlichen Transkript der Aufzeichnung einer Sitzung und darin enthaltene personenbezogene Daten von Sitzungsteilnehmern (deren vollständige Namen und Aussagen, die diesen Personen zuzuordnen waren) veröffentlicht worden. Aufgrund eines Vergleichs des wörtlichen Transkripts mit den veröffentlichten Textpassagen habe festgestellt werden können, dass mehrere längere Textstellen im Wortlaut völlig identisch gewesen seien. Hierdurch sei eine Verletzung des Geschäftsgeheimnisses, verbunden mit einer Verletzung der Vertraulichkeit im Hinblick auf personenbezogene Daten, erwiesen. Daraufhin sei unter Einbeziehung des Datenschutzbeauftragten, der Abteilung Corporate Governance (HCG) sowie der Betriebsratsvorsitzenden der Hauptstelle, XXXX (in der Folge: S), die auch Mitglied des Zentralbetriebsrates sei, eine Untersuchung eingeleitet worden. S habe den Vorsitzenden des Zentralbetriebsrates am 19.02.2021 informiert und vor Umsetzung der Maßnahme mit diesem telefoniert, er habe sich nicht gegen eine Auswertung geäußert.Daraufhin sei unter Einbeziehung des Datenschutzbeauftragten, der Abteilung Corporate Governance (HCG) sowie der Betriebsratsvorsitzenden der Hauptstelle, römisch 40 (in der Folge: S), die auch Mitglied des Zentralbetriebsrates sei, eine Untersuchung eingeleitet worden. S habe den Vorsitzenden des Zentralbetriebsrates am 19.02.2021 informiert und vor Umsetzung der Maßnahme mit diesem telefoniert, er habe sich nicht gegen eine Auswertung geäußert. Um den Eingriff in die Rechte und Grundfreiheiten der allenfalls betroffenen Personen möglichst gering zu halten und nicht alle MitarbeiterInnen unter Generalverdacht zu stellen, sei – angelehnt an das Modell der stufenweisen Kontrollverdichtung – ein mehrstufiges Szenario für die Auswertung im konkreten Anlassfall geplant worden. Es habe eine erste Stufe der Auswertung gegeben, in welcher die technischen Mail-Serverprotokolle (Logfiles) ohne Mailinhalte nach der Versender- und/oder Empfängerdomain „ XXXX “ zwischen dem 30.07.2020 und 22.02.2021 (Tag der Auswertung) ausgewertet worden seien. Sofern die Empfängerdomain den Begriff „ XXXX “ enthalten habe, sei das Ergebnis eine Liste mit Empfänger-E-Mail-Adresse, Absender-E-Mail-Adresse, Status der Zustellung, Betreff, Größe, Datum und Uhrzeit des Versandes gewesen. Eine weitere Einschränkung sei nicht erfolgt, da sich die Vermutung der Verletzung der Geheimhaltung nicht auf eine spezielle Person, Gruppe oder Abteilung bezogen habe. Da es nach der ersten Auswertung keine Anhaltspunkte für eine Verletzung des Geschäftsgeheimnisses und eine Verletzung der Vertraulichkeit personenbezogener Daten durch Übermittlung relevanter Daten an die gesuchte Empfangsdomäne gegeben habe, sei die Untersuchung beendet worden und es habe keine weitere Auswertung gegeben. Die Protokolldaten seien mittlerweile gelöscht worden. Die Logfile-Auswertung stütze die BF auf Art. 6 Abs. 1 lit. f DSGVO iVm Art. 9 Abs. 2 lit. f DSGVO. Die Auswertung sei eine Vorbereitungshandlung für eine etwaige Geltendmachung bzw. Abwehr von Rechtsansprüchen gewesen und habe auch dazu gedient, die Rechtmäßigkeit der Verarbeitung personenbezogener Daten durch MitarbeiterInnen zu überprüfen. Das berechtigte Interesse der BF bestehe in der Rechtmäßigkeit der Verarbeitung personenbezogener Daten und in der Wahrung von Geschäftsgeheimnissen.Um den Eingriff in die Rechte und Grundfreiheiten der allenfalls betroffenen Personen möglichst gering zu halten und nicht alle MitarbeiterInnen unter Generalverdacht zu stellen, sei – angelehnt an das Modell der stufenweisen Kontrollverdichtung – ein mehrstufiges Szenario für die Auswertung im konkreten Anlassfall geplant worden. Es habe eine erste Stufe der Auswertung gegeben, in welcher die technischen Mail-Serverprotokolle (Logfiles) ohne Mailinhalte nach der Versender- und/oder Empfängerdomain „ römisch 40 “ zwischen dem 30.07.2020 und 22.02.2021 (Tag der Auswertung) ausgewertet worden seien. Sofern die Empfängerdomain den Begriff „ römisch 40 “ enthalten habe, sei das Ergebnis eine Liste mit Empfänger-E-Mail-Adresse, Absender-E-Mail-Adresse, Status der Zustellung, Betreff, Größe, Datum und Uhrzeit des Versandes gewesen. Eine weitere Einschränkung sei nicht erfolgt, da sich die Vermutung der Verletzung der Geheimhaltung nicht auf eine spezielle Person, Gruppe oder Abteilung bezogen habe. Da es nach der ersten Auswertung keine Anhaltspunkte für eine Verletzung des Geschäftsgeheimnisses und eine Verletzung der Vertraulichkeit personenbezogener Daten durch Übermittlung relevanter Daten an die gesuchte Empfangsdomäne gegeben habe, sei die Untersuchung beendet worden und es habe keine weitere Auswertung gegeben. Die Protokolldaten seien mittlerweile gelöscht worden. Die Logfile-Auswertung stütze die BF auf Artikel 6, Absatz eins, Litera f, DSGVO in Verbindung mit Artikel 9, Absatz 2, Litera f, DSGVO. Die Auswertung sei eine Vorbereitungshandlung für eine etwaige Geltendmachung bzw. Abwehr von Rechtsansprüchen gewesen und habe auch dazu gedient, die Rechtmäßigkeit der Verarbeitung personenbezogener Daten durch MitarbeiterInnen zu überprüfen. Das berechtigte Interesse der BF bestehe in der Rechtmäßigkeit der Verarbeitung personenbezogener Daten und in der Wahrung von Geschäftsgeheimnissen.
7. Mit aufgetragener Stellungnahme vom 27.05.2022 führten die MP zusammengefasst aus, dass nicht überprüfbar sei, ob die BF Logfiles statt E-Mail-Konten ausgewertet habe, dies aber auch nichts an der rechtswidrigen Verarbeitung der personenbezogenen Daten aller MitarbeiterInnen ohne Rechtsgrundlage ändern würde. Weiters stehe fest, dass die MitarbeiterInnen der BF zu keinem Zeitpunkt eine Einwilligung erteilt hätten. Überdies liege eine Verletzung des Grundsatzes der Datenminimierung nach Art. 5 DSGVO vor, da die BF weder in zeitlicher noch in sachlicher oder personeller Hinsicht Einschränkungen bei der Auswertung der E-Mail-Konten vorgenommen habe.
8. Mit aufgetragener Stellungnahme vom 27.05.2022 führten die MP zusammengefasst aus, dass nicht überprüfbar sei, ob die BF Logfiles statt E-Mail-Konten ausgewertet habe, dies aber auch nichts an der rechtswidrigen Verarbeitung der personenbezogenen Daten aller MitarbeiterInnen ohne Rechtsgrundlage ändern würde. Weiters stehe fest, dass die MitarbeiterInnen der BF zu keinem Zeitpunkt eine Einwilligung erteilt hätten. Überdies liege eine Verletzung des Grundsatzes der Datenminimierung nach Artikel 5, DSGVO vor, da die BF weder in zeitlicher noch in sachlicher oder personeller Hinsicht Einschränkungen bei der Auswertung der E-Mail-Konten vorgenommen habe.
9. Mit aufgetragener Stellungnahme vom 11.07.2022 brachte die BF zusammengefasst vor, dass es insgesamt 26 Personen möglich gewesen sei, Zugriff zu dem besagten Sitzungsprotokoll gehabt zu haben, jedoch auf Grund des Fehlens eines konkreten Verdachtes keine sinnvolle Einschränkung der zu durchsuchenden Mail-Serverprotokolle (Logfiles) stattgefunden habe. Manchmal würden Auszüge von Sitzungsprotokollen veröffentlicht, dies aber nur dann, wenn deren Richtigkeit durch den Vorsitzenden und einen leitenden Angestellten des Versicherungsträgers durch Unterschrift bestätigt sei. Hierbei handle es sich um keine Informationen, die der Verschwiegenheit unterliegen würden.
10. Mit Stellungnahme vom 25.08.2022 brachten die MP zusammengefasst vor, es gebe keine Nachweise darüber, dass lediglich die Logfiles aller MitarbeiterInnen und nicht die E-Mails samt Inhalten durchsucht worden seien. Weiter sei der enorme Zeitabstand zwischen der vermeintlichen Verletzung des Geschäftsgeheimnisses und der Einschau in die E-Mail-Konten aus Sicht der MP nicht schlüssig begründet. Insbesondere rechtfertige der Umstand, dass der Auftrag der Generaldirektion weder mit einer Frist noch mit einer besonderen Dringlichkeit versehen war, die einschneidende rechtswidrige Verarbeitung von personenbezogenen Daten nicht. Alleine auf Grund der Geschäftsordnung des Verwaltungsrates sei eine Einschau sowohl in E-Mail-Konten als auch Logfiles rechtswidrig.
11. Mit Schriftsatz vom 27.09.2022 brachte die BF zusammengefasst vor, dass der Auftrag der Generaldirektion, an die Abteilung Corporate Governance (HCG), eine Einschau in die technischen Mail-Serverprotokolle (Logfiles) ohne Mailinhalte vorzunehmen, bereits am 16.10.2020 erteilt, jedoch nicht mit besonderer Dringlichkeit versehen worden sei. Die Einleitung der ersten Untersuchungen sei zeitnah zu dem Auftrag erfolgt, lediglich die Auswertung habe zu einem späteren Zeitpunkt stattgefunden. Da die Veröffentlichung des Wortprotokolls jedoch bereits stattgefunden hätte, sei aus Sicht der BF zwar ein Interesse an der Aufklärung zur zukünftigen Vermeidung notwendig gewesen, wobei es jedoch keinen zeitlichen Druck gegeben habe. Vorgelegt wurde der betreffende E-Mail-Verlauf zum Beweis dafür, dass die Auswertung zeitlich und inhaltlich begrenzt gewesen sei. Der Zentralbetriebsrat sei zuständig gewesen, weil nicht nur die Interessen der Arbeitnehmerschaft eines Betriebes berührt gewesen seien. Für die Ausübung der relativen Zuständigkeiten durch den Zentralbetriebsrat reiche es aus, wenn von einer Angelegenheit bloß die Arbeitnehmer eines Betriebes unmittelbar betroffen seien, sich die Angelegenheit aber mittelbar auch auf die Arbeitnehmer mindestens eines weiteren Betriebs auswirke.
12. Mit Schriftsatz vom 12.10.2022 brachten die MP zusammengefasst vor, aus dem von der BF vorgelegten E-Mail-Verlauf gehe hervor, dass die Auswertung zeitlich unbefristet ab dem 30.07.2020 durchgeführt worden sei; lediglich eine Volltextsuche sei auf einen Zeitraum bis 15.08.2020 beschränkt gewesen. Auch sei es aus der Sicht der MP kaum vorstellbar, dass ein Auftrag des Generaldirektors bezüglich einer Geheimhaltungsverletzung erst zwei Monate nach Erscheinen des anlassgegenständlichen Berichtes erteilt worden sei. Der Zentralbetriebsrat sei aus Sicht der MP nicht zuständig. Selbst wenn der Zentralbetriebsrat zuständig gewesen wäre, würde dies nichts ändern, da die BF gewusst habe, dass S nicht Vorsitzende des Zentralbetriebsrates und damit auch nicht vertretungsberechtigt gewesen sei.
13. Mit Bescheid vom 07.12.2022 gab die belangte Behörde der Beschwerde der MP statt und stellte fest, dass die BF die MP in ihrem Recht auf Geheimhaltung verletzt habe, indem sie zumindest am 19.02.2021 die technischen Mail-Serverprotokolle (Logfiles), ohne Mailinhalte der MP, für den Zeitraum 30.07.2020 bis zumindest 15.08.2020 hinsichtlich einer Kommunikation mit der Empfängerdomain „ XXXX “ unrechtmäßig durchsucht habe (Spruchpunkt 1.). Zugleich wurde der Antrag auf Vernichtung der Ergebnisse der Datenrecherche zurückgewiesen (Spruchpunkt 2.).
14. Mit Bescheid vom 07.12.2022 gab die belangte Behörde der Beschwerde der MP statt und stellte fest, dass die BF die MP in ihrem Recht auf Geheimhaltung verletzt habe, indem sie zumindest am 19.02.2021 die technischen Mail-Serverprotokolle (Logfiles), ohne Mailinhalte der MP, für den Zeitraum 30.07.2020 bis zumindest 15.08.2020 hinsichtlich einer Kommunikation mit der Empfängerdomain „ römisch 40 “ unrechtmäßig durchsucht habe (Spruchpunkt 1.). Zugleich wurde der Antrag auf Vernichtung der Ergebnisse der Datenrecherche zurückgewiesen (Spruchpunkt 2.). (Da sich die Beschwerde der BF lediglich gegen Spruchpunkt
15. richtet, beziehen sich die folgenden Ausführungen lediglich auf diesen Spruchpunkt.) Rechtlich führte die belangte Behörde zu Spruchpunkt
16. im Wesentlichen Folgendes aus: Die BF sei eine staatliche Behörde und bedürfe für ihr Handeln daher einer gesetzlichen Grundlage, die jedoch im vorliegenden Fall fehle. Als Behörde könne sich die BF nicht auf Art. 6 Abs. 1 lit. f DSGVO stützen, doch auch bei Anwendbarkeit dieser Bestimmung würde kein berechtigtes Interesse vorliegen, weil die Datenverarbeitung nicht verhältnismäßig gewesen sei. Für die belangte Behörde sei es nicht nachvollziehbar, weshalb die Untersuchungsmaßnahme erst rund sechs Monate nach dem Vorfall stattgefunden habe; zudem hätte eine Einschränkung auf technische Mail-Serverprotokolle (Logfiles) bestimmter Personen oder Arbeitsgruppen stattfinden müssen, anstatt pauschal 6000 technische Mail-Serverprotokolle (Logfiles) von Beschäftigten der BF inklusive der MP zu durchsuchen. Die BF habe auch nicht dargelegt, warum gerade eine Kontrolle der MP notwendig gewesen sei. Es liege keine Kompetenzübertragung an den Zentralbetriebsrat und auch keine Zustimmung des Betriebsrates der Hauptstelle für die gegenständliche Maßnahme vor. In einer Gesamtschau sei die Kontrollmaßnahme gegenüber den MP nicht erforderlich gewesen. Die BF sei eine staatliche Behörde und bedürfe für ihr Handeln daher einer gesetzlichen Grundlage, die jedoch im vorliegenden Fall fehle. Als Behörde könne sich die BF nicht auf Artikel 6, Absatz eins, Litera f, DSGVO stützen, doch auch bei Anwendbarkeit dieser Bestimmung würde kein berechtigtes Interesse vorliegen, weil die Datenverarbeitung nicht verhältnismäßig gewesen sei. Für die belangte Behörde sei es nicht nachvollziehbar, weshalb die Untersuchungsmaßnahme erst rund sechs Monate nach dem Vorfall stattgefunden habe; zudem hätte eine Einschränkung auf technische Mail-Serverprotokolle (Logfiles) bestimmter Personen oder Arbeitsgruppen stattfinden müssen, anstatt pauschal 6000 technische Mail-Serverprotokolle (Logfiles) von Beschäftigten der BF inklusive der MP zu durchsuchen. Die BF habe auch nicht dargelegt, warum gerade eine Kontrolle der MP notwendig gewesen sei. Es liege keine Kompetenzübertragung an den Zentralbetriebsrat und auch keine Zustimmung des Betriebsrates der Hauptstelle für die gegenständliche Maßnahme vor. In einer Gesamtschau sei die Kontrollmaßnahme gegenüber den MP nicht erforderlich gewesen.
17. Gegen Spruchpunkt
18. dieses Bescheides erhob die BF fristgerecht Beschwerde an das Bundesverwaltungsgericht und führt zusammengefasst Folgendes aus: Es habe weder gegenüber der Betriebsratsvorsitzenden der Hauptstelle noch gegenüber der Geschäftsleitung eine negative Stellungnahme des Zentralbetriebsrates zum geplanten Vorhaben gegeben. Die Betriebsratsvorsitzende der Hauptstelle habe per E-Mail vom 19.02.2021 die Zulässigkeit der geplanten Maßnahme aus der Sicht des Betriebsrates genehmigt. Die Durchsuchung habe sich auf die Auswertung von technischen Mail-Serverprotokollen im Zeitraum 30.07.2020 bis 15.08.2020 beschränkt. Eine Einschränkung auf besondere Personengruppen sei nicht erfolgt, da sich die Vermutung der Verletzung auf keine spezielle Person, Gruppe oder Abteilung bezogen habe. Es sei das Protokoll des Mailservers betreffend 6000 Beschäftigte der BF durchsucht worden. Die Datenverarbeitung sei im Zusammenhang mit einer vermuteten Dienstpflichtverletzung wegen Verletzung der Verschwiegenheitspflicht

§ 460aASVG erfolgt.

Es habe die Vermutung bestanden, dass die mögliche Dienstpflichtverletzung durch Verwendung des von der BF ihren Bediensteten zur Verfügung gestellten E-Mail-Systems erfolgt sei. Daher sei die Auswertung der Protokolldaten dieses Systems das geeignete Mittel für die notwendigen Erhebungen gewesen. Im Hinblick auf das berechtigte Interesse

Art. 6Abs.

1 lit. f DSGVO führte die BF insbesondere aus, dass die Zeitspanne der vermuteten Dienstpflichtverletzung und der dargestellten Datenverarbeitung keinen Einfluss auf die Beurteilung der Verhältnismäßigkeit habe, da sich durch die zeitlich verzögerte Datenverarbeitung an der Intensität des Eingriffs in die Rechte und Grundfreiheiten der betroffenen Personen nichts geändert habe. Eine Einschränkung auf einen bestimmten Personenkreis sei nicht erfolgt, weil kein spezifischer Personenkreis verdächtigt worden sei. Eine Einschränkung der Untersuchung auf jene Personen, die Zugriff auf die vom Server gespeicherten Informationen hatten, sei nicht zielführend gewesen, weil nicht hätte festgestellt werden sollen, wer auf das Dokument zugegriffen habe oder dies allenfalls ausgedruckt habe, sondern ob eine Kopie dieses Dokuments an unberechtigte Dritte weitergegeben worden sei. Dies habe faktisch jede Person sein können, die rechtmäßig oder unrechtmäßig Zugriff auf das elektronische Dokument bzw. auf eine Kopie davon gehabt habe. Die technische Abfrage sei so gestaltet worden, dass nur dann ein konkreter Personenbezug zum Absender hergestellt worden sei, wenn dieser auch tatsächlich Daten an die Domain „ XXXX “ geschickt hatte. Alle anderen betroffenen Personen seien im Rahmen dieser Auswertung nicht identifiziert worden. Da die MP jeweils den Organen des Betriebsrates bzw. Zentralbetriebsrates zugehörig seien, spreche der Titel der Veröffentlichung und die darin erwähnten „Betriebsräte“ geradezu dafür, Protokolldaten von Betriebsräten in diese Untersuchung miteinzuschließen. Die BF habe von einer wirksamen Einwilligung des Betriebsrats der Hauptstelle und sogar des Zentralbetriebsrates zur gegenständlichen Datenverarbeitung ausgehen können. Ob eine Kompetenzübertragung an den Zentralbetriebsrat vorgelegen habe, sei im Hinblick auf die Rechtmäßigkeit der Datenverarbeitung durch die BF unerheblich, weil ihr eine Zustimmungserklärung vorgelegen habe. Es habe weder gegenüber der Betriebsratsvorsitzenden der Hauptstelle noch gegenüber der Geschäftsleitung eine negative Stellungnahme des Zentralbetriebsrates zum geplanten Vorhaben gegeben. Die Betriebsratsvorsitzende der Hauptstelle habe per E-Mail vom 19.02.2021 die Zulässigkeit der geplanten Maßnahme aus der Sicht des Betriebsrates genehmigt. Die Durchsuchung habe sich auf die Auswertung von technischen Mail-Serverprotokollen im Zeitraum 30.07.2020 bis 15.08.2020 beschränkt. Eine Einschränkung auf besondere Personengruppen sei nicht erfolgt, da sich die Vermutung der Verletzung auf keine spezielle Person, Gruppe oder Abteilung bezogen habe. Es sei das Protokoll des Mailservers betreffend 6000 Beschäftigte der BF durchsucht worden. Die Datenverarbeitung sei im Zusammenhang mit einer vermuteten Dienstpflichtverletzung wegen Verletzung der Verschwiegenheitspflicht

Paragraph 460 a, ASVG erfolgt. Es habe die Vermutung bestanden, dass die mögliche Dienstpflichtverletzung durch Verwendung des von der BF ihren Bediensteten zur Verfügung gestellten E-Mail-Systems erfolgt sei. Daher sei die Auswertung der Protokolldaten dieses Systems das geeignete Mittel für die notwendigen Erhebungen gewesen. Im Hinblick auf das berechtigte Interesse

Artikel 6

, Absatz eins, Litera f, DSGVO führte die BF insbesondere aus, dass die Zeitspanne der vermuteten Dienstpflichtverletzung und der dargestellten Datenverarbeitung keinen Einfluss auf die Beurteilung der Verhältnismäßigkeit habe, da sich durch die zeitlich verzögerte Datenverarbeitung an der Intensität des Eingriffs in die Rechte und Grundfreiheiten der betroffenen Personen nichts geändert habe. Eine Einschränkung auf einen bestimmten Personenkreis sei nicht erfolgt, weil kein spezifischer Personenkreis verdächtigt worden sei. Eine Einschränkung der Untersuchung auf jene Personen, die Zugriff auf die vom Server gespeicherten Informationen hatten, sei nicht zielführend gewesen, weil nicht hätte festgestellt werden sollen, wer auf das Dokument zugegriffen habe oder dies allenfalls ausgedruckt habe, sondern ob eine Kopie dieses Dokuments an unberechtigte Dritte weitergegeben worden sei. Dies habe faktisch jede Person sein können, die rechtmäßig oder unrechtmäßig Zugriff auf das elektronische Dokument bzw. auf eine Kopie davon gehabt habe. Die technische Abfrage sei so gestaltet worden, dass nur dann ein konkreter Personenbezug zum Absender hergestellt worden sei, wenn dieser auch tatsächlich Daten an die Domain „ römisch 40 “ geschickt hatte. Alle anderen betroffenen Personen seien im Rahmen dieser Auswertung nicht identifiziert worden. Da die MP jeweils den Organen des Betriebsrates bzw. Zentralbetriebsrates zugehörig seien, spreche der Titel der Veröffentlichung und die darin erwähnten „Betriebsräte“ geradezu dafür, Protokolldaten von Betriebsräten in diese Untersuchung miteinzuschließen. Die BF habe von einer wirksamen Einwilligung des Betriebsrats der Hauptstelle und sogar des Zentralbetriebsrates zur gegenständlichen Datenverarbeitung ausgehen können. Ob eine Kompetenzübertragung an den Zentralbetriebsrat vorgelegen habe, sei im Hinblick auf die Rechtmäßigkeit der Datenverarbeitung durch die BF unerheblich, weil ihr eine Zustimmungserklärung vorgelegen habe.

1. Die belangte Behörde legte den Verwaltungsakt dem Bundesverwaltungsgericht vor, erstattete eine Stellungnahme und führte im Wesentlichen aus, dass eine Kontrollmaßnahme ein halbes Jahr später nicht mehr als notwendig qualifiziert werden könne. Zudem sei der zeitliche Konnex zwischen der Dienstverletzung und der Kontrollmaßnahme zu berücksichtigen, weil das berechtigte Interesse ein aktuelles sein müsse. Darüber hinaus könne die Veröffentlichung der Information über einen geplanten Umzug eine Kontrollmaßnahme nach einem halben Jahr nicht rechtfertigen. Ferner könne anhand einer bloßen E-Mail-Passage nicht von einer rechtmäßigen Zustimmung des Betriebsrates ausgegangen werden.
2. Daraufhin replizierte die BF mit Schreiben vom 22.02.2023 im Wesentlichen, dass die Datenverarbeitung zwar sechs Monate nach der vermuteten Dienstpflichtverletzung erfolgt sei, doch auch bei einer zeitnahen Datenverarbeitung die Auswertung den gleichen Zeitraum und die gleichen Betroffenengruppen umfasst hätte. Die Ansicht der belangten Behörde, dass durch die Einschränkung auf gewisse Personen oder Arbeitsgruppen die Intensität des Grundrechtseingriffes hätte reduziert werden können, sei unzutreffend, da es keinen konkreten Verdacht gegen bestimmte Personen oder Arbeitsgruppen gegeben und der Datenbestand der Protokolldaten keine derartige Einschränkung ermöglicht habe, sodass die erfolgte Abfrage in der Form, wie sie erfolgt sei, das gelindeste Mittel darstelle. Das Interesse der BF an der Aufklärung einer Dienstpflichtverletzung sei nicht spekulativ gewesen; es habe konkret bestanden und sei gesetzlich geboten gewesen. Bei der E-Mail des Betriebsratsvorsitzenden der Hauptstelle handle es sich um eine konkrete Antwort; der Betriebsrat habe in seiner Antwort konkret die Zulässigkeit einer der beschriebenen Maßnahmen bestätigt.
3. Die MP stimmten in ihrer Stellungnahme vom 06.03.2023 den Ausführungen der belangten Behörde in ihrer Stellungnahme vom 13.01.2023 vollinhaltlich zu und führten im Wesentlichen aus, dass ein bloßer Umzug, über den man selbst per Mail an 900 MitarbeiterInnen informiert habe, per definitionem bereits kein Geschäftsgeheimnis sei. Es fehle an einem berechtigten Interesse für die Einschau am 22.02.2021, weil zu diesem Zeitpunkt der Umzug seit sieben Monaten in der Öffentlichkeit bekannt gewesen sei, in einer weiteren Verwaltungsratssitzung am 29.10.2020 ein anderer Übersiedlungsort beschlossen worden sei und am 15.02.2021, also vor der Einschau, bereits ein Teil der Räumlichkeiten an die BF übergeben worden sei. Ferner werde eine Verletzung der Verschwiegenheitspflicht der Bediensteten der BF bloß behauptet, sie sei aber nicht bewiesen worden. Aus dem Erwägungsgrund 47 der DSGVO gehe deutlich hervor, dass im Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt sei, das Datenschutzsubjekt vernünftigerweise davon ausgehen müsse, dass seine Daten zu diesem Zweck verarbeitet werden würden. Daher spiele die Zeitspanne zwischen der vermeintlichen Dienstpflichtverletzung und der Einschau der E-Mail-Konten von 6000 MitarbeiterInnen eine große Rolle, zumal allen MitarbeiterInnen längst bekannt gewesen sei, dass ein Umzug erfolgen werde. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
4. Feststellungen Der unter I. dargestellte Verfahrensgang wird den Feststellungen zugrunde gelegt, insbesondere wird zum Administrativverfahren festgestellt:Der unter römisch eins. dargestellte Verfahrensgang wird den Feststellungen zugrunde gelegt, insbesondere wird zum Administrativverfahren festgestellt: 1.
5. Die XXXX ist ein Sozialversicherungsträger und eine Körperschaft öffentlichen Rechts. Aufsichtsbehörde ist das Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz.1.
6. Die römisch 40 ist ein Sozialversicherungsträger und eine Körperschaft öffentlichen Rechts. Aufsichtsbehörde ist das Bundesministerium für Soziales, Gesundheit, Pflege und Konsumentenschutz. Die Organisation der BF besteht aus einer Hauptstelle in Wien und mehreren Landes- und Außenstellen. Die BF beschäftigt rund 6000 MitarbeiterInnen. 1.
7. Die MP sind Dienstnehmer der BF, MP 1 an der Landesstelle XXXX , MP 2 an der Landesstelle XXXX und MP 3 im Unfallkrankenhaus XXXX in XXXX . Sie sind den jeweiligen Betriebsratskörperschaften vor Ort zugehörig. Sie werden nicht von der Betriebsratskörperschaft der Hauptstelle, deren Betriebsratsvorsitzende S ist, vertreten.1.
8. Die MP sind Dienstnehmer der BF, MP 1 an der Landesstelle römisch 40 , MP 2 an der Landesstelle römisch 40 und MP 3 im Unfallkrankenhaus römisch 40 in römisch 40 . Sie sind den jeweiligen Betriebsratskörperschaften vor Ort zugehörig. Sie werden nicht von der Betriebsratskörperschaft der Hauptstelle, deren Betriebsratsvorsitzende S ist, vertreten. Die MP verfügen über E-Mail-Adressen, die ihnen von der BF sowohl zur Berufsausübung als auch zur Ausübung ihrer jeweiligen Betriebsratsfunktionen zur Verfügung steht. Diese E-Mail-Adressen setzen sich folgendermaßen zusammen: vorname.nachname@ XXXX .at. Die MP verfügen über E-Mail-Adressen, die ihnen von der BF sowohl zur Berufsausübung als auch zur Ausübung ihrer jeweiligen Betriebsratsfunktionen zur Verfügung steht. Diese E-Mail-Adressen setzen sich folgendermaßen zusammen: vorname.nachname@ römisch 40 .at. 1.
9. Am 30.07.2020 fand eine Sitzung des Verwaltungsrats der BF betreffend einen möglichen Umzug der Belegschaft der BF statt. Beabsichtigt war die Verlegung der Belegschaft von einem der BF gehörigen Haus ins Haus der XXXX am XXXX in Wien.1.
10. Am 30.07.2020 fand eine Sitzung des Verwaltungsrats der BF betreffend einen möglichen Umzug der Belegschaft der BF statt. Beabsichtigt war die Verlegung der Belegschaft von einem der BF gehörigen Haus ins Haus der römisch 40 am römisch 40 in Wien. An der Verwaltungsratssitzung am 30.07.2020 nahm nur die MP 2 teil, während die MP 1 und MP 3 nicht anwesend waren. Von der Verwaltungsratssitzung am 30.07.2020 wurde ein Wortprotokoll erstellt. Derartige Sitzungsprotokolle werden auf einem speziell dafür vorgesehenen Server der BF gespeichert, worauf ausschließlich 26 Personen (sieben Personen aus dem Bereich Präsidialangelegenheiten, sieben Personen der Generaldirektion samt Assistenz und 12 Personen aus dem Bereich IKT) Zugriff haben. Werden derartige Sitzungsprotokolle außerhalb des Betriebs verwendet, handelt es sich dabei ausschließlich um Auszüge aus den Protokollen, deren Richtigkeit durch die Unterschrift des Vorsitzenden und eines leitenden Angestellten zu bestätigen ist. Nur diese Protokollauszüge stellen zu veröffentlichende Berichte dar, die keinem Geschäftsgeheimnis unterliegen. Alle anderen Protokolle sind geheim und auch Gegenstand entsprechender Geheimhaltungsmaßnahmen. Am selben Tag wurden alle MitarbeiterInnen der Hauptstelle der BF und der Landesstelle XXXX über den geplanten Umzug informiert.Am selben Tag wurden alle MitarbeiterInnen der Hauptstelle der BF und der Landesstelle römisch 40 über den geplanten Umzug informiert. 1.
11. Am 15.08.2020 veröffentlichte die Website „ XXXX “ einen Beitrag unter dem Titel „ XXXX “.1.
12. Am 15.08.2020 veröffentlichte die Website „ römisch 40 “ einen Beitrag unter dem Titel „ römisch 40 “. In diesem Artikel wurden wörtliche Aussagen von namentlich genannten Sitzungsteilnehmern aus dem Wortprotokoll vom 30.07.2020 zitiert. Insbesondere beziehen sich folgende Textpassagen auf das Wortprotokoll vom 30.07.2020: „Wien,
13. August 2020 | XXXX „Wien,
14. August 2020 | römisch 40 XXXX römisch 40 XXXX römisch 40 XXXX römisch 40 XXXX römisch 40 XXXX römisch 40 XXXX römisch 40 1.
15. Aufgrund der Artikelveröffentlichung auf „ XXXX “ betreffend die Verwaltungsratssitzung vom 30.07.2020 wurde von der Generaldirektion der BF am 16.10.2020 eine erste „Untersuchung der Prozesse der Protokollierung der Sitzungen, über die Erstellung des Protokolls bis zur Genehmigung, wobei besonderes Augenmerk auf Datensicherheit und Datenintegrität zu legen ist“ in Auftrag gegeben. 1.
16. Aufgrund der Artikelveröffentlichung auf „ römisch 40 “ betreffend die Verwaltungsratssitzung vom 30.07.2020 wurde von der Generaldirektion der BF am 16.10.2020 eine erste „Untersuchung der Prozesse der Protokollierung der Sitzungen, über die Erstellung des Protokolls bis zur Genehmigung, wobei besonderes Augenmerk auf Datensicherheit und Datenintegrität zu legen ist“ in Auftrag gegeben. Am 19.02.2021 wurde die Auswertung der E-Mail-Logfiles aller MitarbeiterInnen ab dem 30.07.2020 mit Einschränkung auf die Empfängerdomain „ XXXX “ in Auftrag gegeben. Diese Auswertung ist am 22.02.2021 anhand einer Durchsuchung der E-Mail-Logfiles erfolgt und hatte eine Liste mit folgendem Inhalt zum Ergebnis: Empfänger-E-Mail-Adresse, Absender-E-Mail-Adresse, Status der Zustellung, Betreff, Größe, Datum und Uhrzeit des Versandes. Es erfolgte keine weitere Einschränkung (etwa auf besondere Personengruppen oder Abteilungen) und wurden insgesamt 6000 technische Mail-Serverprotokolle (Logfiles) ohne Mailinhalte durchsucht. Nachdem sich aus dieser ersten Auswertung keine Anhaltspunkte im Hinblick auf eine Verletzung des Geschäftsgeheimnisses ergaben, wurden keine weiteren Auswertungen mehr veranlasst. Die Ergebnisliste der ersten Auswertung enthält konkret 13 Kommunikationsvorgänge zwischen der E-Mail-Adresse „ XXXX “ und der Pressestelle der BF „kommunikation@ XXXX .at“ im Zeitraum von 11.01.2021 bis 29.01.
17. Da Logfiles nur 90 Tage verfügbar sind, war eine Auswertung für den Zeitraum 30.07.2020 bis 15.08.2020 nicht möglich.Am 19.02.2021 wurde die Auswertung der E-Mail-Logfiles aller MitarbeiterInnen ab dem 30.07.2020 mit Einschränkung auf die Empfängerdomain „ römisch 40 “ in Auftrag gegeben. Diese Auswertung ist am 22.02.2021 anhand einer Durchsuchung der E-Mail-Logfiles erfolgt und hatte eine Liste mit folgendem Inhalt zum Ergebnis: Empfänger-E-Mail-Adresse, Absender-E-Mail-Adresse, Status der Zustellung, Betreff, Größe, Datum und Uhrzeit des Versandes. Es erfolgte keine weitere Einschränkung (etwa auf besondere Personengruppen oder Abteilungen) und wurden insgesamt 6000 technische Mail-Serverprotokolle (Logfiles) ohne Mailinhalte durchsucht. Nachdem sich aus dieser ersten Auswertung keine Anhaltspunkte im Hinblick auf eine Verletzung des Geschäftsgeheimnisses ergaben, wurden keine weiteren Auswertungen mehr veranlasst. Die Ergebnisliste der ersten Auswertung enthält konkret 13 Kommunikationsvorgänge zwischen der E-Mail-Adresse „ römisch 40 “ und der Pressestelle der BF „kommunikation@ römisch 40 .at“ im Zeitraum von 11.01.2021 bis 29.01.
18. Da Logfiles nur 90 Tage verfügbar sind, war eine Auswertung für den Zeitraum 30.07.2020 bis 15.08.2020 nicht möglich. Die Betriebsratsvorsitzende der Hauptstelle und Mitglied des Zentralbetriebsrates S war in die geplante Datenverarbeitung involviert, nicht jedoch örtliche Betriebsräte der Arbeitsstellen der MP. Die MP haben am 19.02.2021 darüber Kenntnis erlangt. Der Zentralbetriebsrat und die örtlichen Betriebsratskörperschaften der MP haben der durchgeführten Auswertung der E-Mail-Logfiles der MitarbeiterInnen nicht zugestimmt. 1.
19. Die Betriebsvereinbarung über die Verwendung elektronischer Informations- und Kommunikationsmedien der BF wurde zwischen der BF und ihrem Zentralbetriebsrat geschlossen, ist am 21.05.2015 in Kraft getreten und bis dato nicht gekündigt worden. Sie lautet auszugsweise wie folgt: „[…] 4.
20. E-Mail Mitarbeiterinnen und Mitarbeitern auf Arbeitsplätzen, die über einen Zugang zum Computer verfügen, wird die Möglichkeit eingeräumt, E-Mails zu senden und zu empfangen. […] Protokollierung Jedes E-Mail wird hinsichtlich seines Übertragungsvorganges auf den E-Mail-Servern der BF und des Hauptverbandes protokolliert. Es handelt sich hierbei um eine reine Transportprotokollierung (= Speicherung von Absender, Empfänger, Betreff, Anzahl der Anhänge und Umfang des E-Mails). Aufgrund des installierten Viren- und Spam-Schutzes erfolgt eine automatisierte Verschiebung der betroffenen E-Mails in den Quarantäneordner der BF. Die E-Mail-Daten bleiben in diesem Ordner einige Tage erhalten. Jede Protokollierung erfolgt ausschließlich für das Aufspüren von Fehlerquellen, das Analysieren von Fehlern und deren Beseitigung. Einsichtnahme Die Administratoren für das E-Mail-System (HTR) der BF haben die technischen Möglichkeiten, in die Elemente auf den E-Mail-Servern einzusehen – die E-Mails zu öffnen. Die Einsichtsmöglichkeit besteht allerdings nur bei aktiven E-Mails (das sind E-Mails, die noch nicht vom Mitarbeiter/der Mitarbeiterin gelöscht wurden). Die aus dem Ordner „gelöschte Objekte“ gelöschten oder entfernten E-Mails können 7 Tage lang vom Benutzer wieder hergestellt werden. Bei wieder hergestellten E-Mails besteht wie bei sonstigen aktiven E-Mails die technische Möglichkeit für den Administrator, den Inhalt des E-Mails zu lesen. Solche Zugriffe des Administrators werden protokolliert. […] Ausdrücklich wird festgehalten, dass der Administrator ausschließlich aus Gründen der Systemsicherheit in die Daten des E-Mail-Systems Einsicht nehmen darf. Es ist ihm untersagt, aus Gründen der Leistungs- und Verhaltenskontrolle personenbezogene Daten der Mitarbeiterinnen und Mitarbeiter des E-Mail-Servers abzurufen, in diese Einsicht zu nehmen oder diese an Dritte weiterzugeben. Zuwiderhandeln zieht dienstrechtliche Konsequenzen nach sich. Sollte bei begründetem Verdacht auf missbräuchliche Nutzung, auf Verletzung der dienstrechtlichen Verschwiegenheitspflicht bzw. auf die unberechtigte Einsichtnahme in E-Mails Dritter Einblick in das Protokoll bzw. in die Inhalte von E-Mails seitens der BF genommen werden müssen, ist der örtliche Betriebsrat hinzuzuziehen. Die Einsichtnahme in das Protokoll bzw. auf die Inhalte von E-Mails hat ausschließlich auf Anordnung des Generaldirektors, in dessen Abwesenheit auf Anordnung des Generaldirektor-Stellvertreters bzw. des zuständigen Landesstellendirektors, in dessen Abwesenheit auf Anordnung des Landesstellendirektor-Stellvertreters der BF zu erfolgen. Der Einblick in die Daten kann nur unter Beiziehung des Betriebsrates vorgenommen werden. Die Einsichtnahme in den Inhalt von privaten E-Mails ist ohne Einverständniserklärung der Mitarbeiterin/des Mitarbeiters nicht zulässig. […]“
21. Beweiswürdigung Die Feststellungen ergeben sich aus dem unbedenklichen Verwaltungsakt, insbesondere den von den Verfahrensparteien vorgelegten Unterlagen. 2.
22. Die Feststellungen zu Punkt 1.
23. ergeben sich aus dem Internetauftritt der BF (https://www. XXXX , letzter Zugriff am 12.12.2023).2.
24. Die Feststellungen zu Punkt 1.
25. ergeben sich aus dem Internetauftritt der BF (https://www. römisch 40 , letzter Zugriff am 12.12.2023). 2.
26. Die Feststellungen zu Punkt 1.
27. ergeben sich aus dem unbestrittenen Vorbringen der MP (Stellungnahme vom 25.08.2022, Seite 2; Datenschutzbeschwerde vom 15.02.2022, Seite 2). 2.
28. Die Feststellungen zu Punkt 1.
29. ergeben sich aus den vorgelegten Unterlagen und dem unbestrittenen Vorbringen der Verfahrensparteien. Dass an der Verwaltungsratssitzung am 30.07.2020 die MP 2 teilnahm, ergibt sich aus dem von den MP vorgelegten Dokument, aus dem die an der Verwaltungsratssitzung teilnehmenden Personen ersichtlich sind (Stellungnahme vom 27.05.2022, Beilage ./C). Die Feststellung, dass ein Wortprotokoll erstellt worden ist und ein solches auf einem eigens dafür bestimmten Server gespeichert wird, worauf nur bestimmte Personen Zugriff haben, und die Feststellung, inwieweit solche Wortprotokolle öffentlich sind, ergeben sich aus dem unbestrittenen Vorbringen der BF (vgl. Stellungnahme der BF vom 11.07.2022, Seite 2 und 5).Die Feststellung, dass ein Wortprotokoll erstellt worden ist und ein solches auf einem eigens dafür bestimmten Server gespeichert wird, worauf nur bestimmte Personen Zugriff haben, und die Feststellung, inwieweit solche Wortprotokolle öffentlich sind, ergeben sich aus dem unbestrittenen Vorbringen der BF vergleiche Stellungnahme der BF vom 11.07.2022, Seite 2 und 5). Die Feststellung, dass die MitarbeiterInnen der Hauptstelle der BF und der Landesstelle XXXX am selben Tag über den geplanten Umzug informiert worden sind, ergibt sich aus der von den MP vorgelegten E-Mail der BF vom 30.07.2020 (Stellungnahme vom 25.08.2022, Beilage ./E).Die Feststellung, dass die MitarbeiterInnen der Hauptstelle der BF und der Landesstelle römisch 40 am selben Tag über den geplanten Umzug informiert worden sind, ergibt sich aus der von den MP vorgelegten E-Mail der BF vom 30.07.2020 (Stellungnahme vom 25.08.2022, Beilage ./E). 2.
30. Die Feststellungen zu Punkt 1.
31. ergeben sich aus dem Vorbringen der Verfahrensparteien und dem im Internet veröffentlichten Artikel vom 15.08.2020 ( XXXX , letzter Zugriff am 12.12.2023). 2.
32. Die Feststellungen zu Punkt 1.
33. ergeben sich aus dem Vorbringen der Verfahrensparteien und dem im Internet veröffentlichten Artikel vom 15.08.2020 ( römisch 40 , letzter Zugriff am 12.12.2023). 2.
34. Die Feststellungen zu Punkt 1.
35. ergeben sich insbesondere aus dem Vorbringen der BF in ihren Stellungnahmen vom 04.04.2022, 11.04.2022, 11.07.2022 und 27.09.2022 sowie dem E-Mail vom 19.02.2021, in dem XXXX (in der Folge: H), Abteilungsleiter der Informations- und Kommunikationstechnologie (IKT) von XXXX (in der Folge: B), Referent der Abteilung Corporate Governance (HCG), unter anderem ersucht wird, E-Mail-Auswertungen durchzuführen. Dabei sollte untersucht werden, ob E-Mails an die Domain „ XXXX “ ab dem 30.07.2020 gesendet worden sind und sollten alle relevanten Daten ausgewertet werden, wie etwa Zeitpunkt, Absender und Empfänger („Mail an Domain „ XXXX “ ab 30.07.2020“). Mit E-Mail vom 22.02.2021 bat H einen seiner Techniker um entsprechende Auswertung, woraufhin H am selben Tag eine Auswertung in Form einer jpg-Datei mit der Anmerkung erhielt, dass eine Auswertung für den Zeitraum Juli bis August 2020 nicht möglich gewesen sei, weil Logfiles nur 90 Tage verfügbar seien (Anlage 1 zur Stellungnahme der BF vom 27.09.2022). Weiters führte die BF in ihrer Stellungnahme vom 11.07.2022 aus, dass die Abteilung Corporate Governance (HCG) erstmals mit E-Mail des H vom 15.03.2021 darüber informiert worden sei, dass die Aufbewahrungsdauer von Logfiles der betroffenen Verarbeitung nur 90 Tage umfasse und somit eine Abfrage der Daten für den relevanten Zeitraum gar nicht möglich gewesen wäre (vgl. Stellungnahme vom 11.07.2022, Seite 1 iVm Anlage 1). Somit konnten die entsprechenden Feststellungen getroffen werden.2.
36. Die Feststellungen zu Punkt 1.
37. ergeben sich insbesondere aus dem Vorbringen der BF in ihren Stellungnahmen vom 04.04.2022, 11.04.2022, 11.07.2022 und 27.09.2022 sowie dem E-Mail vom 19.02.2021, in dem römisch 40 (in der Folge: H), Abteilungsleiter der Informations- und Kommunikationstechnologie (IKT) von römisch 40 (in der Folge: B), Referent der Abteilung Corporate Governance (HCG), unter anderem ersucht wird, E-Mail-Auswertungen durchzuführen. Dabei sollte untersucht werden, ob E-Mails an die Domain „ römisch 40 “ ab dem 30.07.2020 gesendet worden sind und sollten alle relevanten Daten ausgewertet werden, wie etwa Zeitpunkt, Absender und Empfänger („Mail an Domain „ römisch 40 “ ab 30.07.2020“). Mit E-Mail vom 22.02.2021 bat H einen seiner Techniker um entsprechende Auswertung, woraufhin H am selben Tag eine Auswertung in Form einer jpg-Datei mit der Anmerkung erhielt, dass eine Auswertung für den Zeitraum Juli bis August 2020 nicht möglich gewesen sei, weil Logfiles nur 90 Tage verfügbar seien (Anlage 1 zur Stellungnahme der BF vom 27.09.2022). Weiters führte die BF in ihrer Stellungnahme vom 11.07.2022 aus, dass die Abteilung Corporate Governance (HCG) erstmals mit E-Mail des H vom 15.03.2021 darüber informiert worden sei, dass die Aufbewahrungsdauer von Logfiles der betroffenen Verarbeitung nur 90 Tage umfasse und somit eine Abfrage der Daten für den relevanten Zeitraum gar nicht möglich gewesen wäre vergleiche Stellungnahme vom 11.07.2022, Seite 1 in Verbindung mit Anlage 1). Somit konnten die entsprechenden Feststellungen getroffen werden. Dass die Betriebsratsvorsitzende der Hauptstelle in die Datenverarbeitung involviert war, aber nicht die örtlichen Betriebsräte der Arbeitsstellen der MP, ergibt sich aus dem Vorbringen der BF, wonach lediglich die Betriebsratsvorsitzende der Hauptstelle involviert und der Vorsitzende des Zentralbetriebsrats darüber informiert worden sei (Stellungnahme vom 04.04.2022, Seite 2; vgl. auch die Stellungnahme der BF vom 11.07.2022, Seite 6).Dass die Betriebsratsvorsitzende der Hauptstelle in die Datenverarbeitung involviert war, aber nicht die örtlichen Betriebsräte der Arbeitsstellen der MP, ergibt sich aus dem Vorbringen der BF, wonach lediglich die Betriebsratsvorsitzende der Hauptstelle involviert und der Vorsitzende des Zentralbetriebsrats darüber informiert worden sei (Stellungnahme vom 04.04.2022, Seite 2; vergleiche auch die Stellungnahme der BF vom 11.07.2022, Seite 6). Die Feststellung zum Zeitpunkt, in dem die MP Kenntnis von der durchgeführten Datenverarbeitung erlangt haben, beruht auf der entsprechenden Angabe in der Datenschutzbeschwerde der MP vom 15.02.2022 (Seite 8) und einem von der BF vorgelegten E-Mail vom 19.02.2021 (Anlage 2 zur Stellungnahme der BF vom 04.04.2022). Das Vorbringen der BF, wonach der Zentralbetriebsrat der gegenständlichen Kontrollmaßnahme zugestimmt habe, kann nicht nachvollzogen werden. Die BF bezieht sich hierbei auf ein E-Mail der Betriebsratsvorsitzenden der Hauptstelle an B und H, in dem sie bezugnehmend „auf das Informations-E-Mail betreffend der Auswertung im Zuge des Einschauthemas ´VR-Protokolle´“ festhält, dass „Punkt eins Mail an Domain ´ XXXX ´ ab 30.07.2020 aus unserer Sicht zulässig ist“. Dabei wurde unter anderem die MP2, der Vorsitzende des Zentralbetriebsrates, in CC gesetzt. Die BF argumentiert, dass hiermit nicht nur das Organ des Betriebsrates der Hauptstelle, sondern auch der Zentralbetriebsrat dieser Maßnahme zugestimmt habe. Der Zentralbetriebsrat habe Kenntnis von der Durchführung der Analyse der Protokolldaten gehabt und habe keinen Widerspruch zur Durchführung der Maßnahme geäußert, obwohl dazu sowohl ausreichend Zeit als auch Gelegenheit bestanden habe (Bescheidbeschwerde, Seite 10). Daraus ergibt sich, dass der Zentralbetriebsrat zwar von der gegenständlichen Datenverarbeitung informiert wurde, jedoch ist diesen Ausführungen der BF und dem E-Mail vom 19.02.2021 (Anlage 1 zur Stellungnahme der BF vom 16.02.2023) eine Zustimmung des Zentralbetriebsrates nicht zu entnehmen. Diesbezüglich ist daher den Ausführungen der MP und der belangten Behörde zu folgen, wonach eine Zustimmung des Zentralbetriebsrates nicht vorlag. Die MP2 führte in diesem Zusammenhang nachvollziehbar aus, dass er davon ausgegangen sei, dass es sich lediglich um die Mitarbeiter der Hauptstelle gehandelt habe, zumal S als Betriebsratsvorsitzende der Angestellten der Hauptstelle kontaktiert worden sei (Stellungname der MP vom 25.08.2022, Seite 10). Außerdem ist im Verfahren nicht hervorgekommen, dass die örtlichen Betriebsratskörperschaften der MP der hier relevanten Handlung der BF hinzugezogen wurden. Insgesamt war daher festzustellen, dass der Zentralbetriebsrat und die örtlichen Betriebsratskörperschaften der MP der durchgeführten Auswertung der E-Mail-Logfiles der MitarbeiterInnen nicht zugestimmt haben.Das Vorbringen der BF, wonach der Zentralbetriebsrat der gegenständlichen Kontrollmaßnahme zugestimmt habe, kann nicht nachvollzogen werden. Die BF bezieht sich hierbei auf ein E-Mail der Betriebsratsvorsitzenden der Hauptstelle an B und H, in dem sie bezugnehmend „auf das Informations-E-Mail betreffend der Auswertung im Zuge des Einschauthemas ´VR-Protokolle´“ festhält, dass „Punkt eins Mail an Domain ´ römisch 40 ´ ab 30.07.2020 aus unserer Sicht zulässig ist“. Dabei wurde unter anderem die MP2, der Vorsitzende des Zentralbetriebsrates, in CC gesetzt. Die BF argumentiert, dass hiermit nicht nur das Organ des Betriebsrates der Hauptstelle, sondern auch der Zentralbetriebsrat dieser Maßnahme zugestimmt habe. Der Zentralbetriebsrat habe Kenntnis von der Durchführung der Analyse der Protokolldaten gehabt und habe keinen Widerspruch zur Durchführung der Maßnahme geäußert, obwohl dazu sowohl ausreichend Zeit als auch Gelegenheit bestanden habe (Bescheidbeschwerde, Seite 10). Daraus ergibt sich, dass der Zentralbetriebsrat zwar von der gegenständlichen Datenverarbeitung informiert wurde, jedoch ist diesen Ausführungen der BF und dem E-Mail vom 19.02.2021 (Anlage 1 zur Stellungnahme der BF vom 16.02.2023) eine Zustimmung des Zentralbetriebsrates nicht zu entnehmen. Diesbezüglich ist daher den Ausführungen der MP und der belangten Behörde zu folgen, wonach eine Zustimmung des Zentralbetriebsrates nicht vorlag. Die MP2 führte in diesem Zusammenhang nachvollziehbar aus, dass er davon ausgegangen sei, dass es sich lediglich um die Mitarbeiter der Hauptstelle gehandelt habe, zumal S als Betriebsratsvorsitzende der Angestellten der Hauptstelle kontaktiert worden sei (Stellungname der MP vom 25.08.2022, Seite 10). Außerdem ist im Verfahren nicht hervorgekommen, dass die örtlichen Betriebsratskörperschaften der MP der hier relevanten Handlung der BF hinzugezogen wurden. Insgesamt war daher festzustellen, dass der Zentralbetriebsrat und die örtlichen Betriebsratskörperschaften der MP der durchgeführten Auswertung der E-Mail-Logfiles der MitarbeiterInnen nicht zugestimmt haben. 2.
38. Die Feststellungen zu Punkt 1.
39. ergeben sich aus der mit der Stellungnahme der MP vom 25.08.2022 vorgelegten Betriebsvereinbarung (Beilage ./F).
40. Rechtliche Beurteilung 3.
41. Zu Spruchpunkt A): 3.1.1.

Art. 130Abs.

1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1.1.

Artikel 130

, Absatz eins, Ziffer eins, B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

§ 6Bundesverwaltungsgerichtsgesetz (BVw

GG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 6, Bundesverwaltungsgerichtsgesetz (BVwGG) entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Aufgrund von § 27 DSG liegt gegenständlich Senatszuständigkeit vor. Aufgrund von Paragraph 27, DSG liegt gegenständlich Senatszuständigkeit vor. 3.1.2. Die Beschwerde wurde

§ 7Abs. 4 Vw

GVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.3.1.2. Die Beschwerde wurde

Paragraph 7, Absatz 4, VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor. 3.1.3. Anzuwendendes Recht: Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten auszugsweise wie folgt:Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) in der Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, lauten auszugsweise wie folgt: Artikel 1 (Verfassungsbestimmung) Grundrecht auf Datenschutz § 1

den Zwecken der Verarbeitung;

Artikel 51eingerichtete unabhängige staatliche Stelle;

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

Art. 4

Z 1 DSGVO (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 1 [Stand 01.01.2022, rdb.at] Rz 28).Bei der E-Mail-Adresse, die den Vor- und Nachnamen der betroffenen Person enthält, handelt es sich um personenbezogene Daten

Artikel 4

, Ziffer eins, DSGVO (Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph eins, [Stand 01.01.2022, rdb.at] Rz 28). Wie festgestellt, wurden die E-Mail-Logfile-Daten der rund 6000 Mitarbeiter und Mitarbeiterinnen der BF, darunter auch die Logfile-Daten der MP am 22.02.2021 durchsucht und einer Auswertung zugrunde gelegt. Da Logfiles nur 90 Tage verfügbar sind, konnten ausschließlich Daten der letzten 90 Tage vor dem Auswertungszeitpunkt verarbeitet werden. Die E-Mail-Logfile-Daten enthalten unter anderem jeweils die Empfänger-E-Mail-Adresse und Absender-E-Mail-Adresse. Diese E-Mail-Adressen setzen sich aus Vor- und Nachnamen der betroffenen Personen zusammen. Daraus folgt, dass die BF personenbezogene Daten aller Teilnehmer, die den E-Mail-Dienst in den letzten 90 Tagen vor dem Auswertungszeitpunkt genutzt haben, verarbeitet hat. Nach § 1 Abs. 1 DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind. Eine Beschränkung dieses Anspruchs ist - soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt - nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden (§ 1 Abs. 2 DSG).Nach Paragraph eins, Absatz eins, DSG hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind. Eine Beschränkung dieses Anspruchs ist - soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt - nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden (Paragraph eins, Absatz 2, DSG). Der Begriff der „staatlichen Behörde“ wird im DSG nicht definiert. Die Gesetzesmaterialien zum DSG 2000 führen aus, dass darunter ein „hoheitlich handelndes staatliches Organ“ verstanden werden soll (RV 1613 BlgNR

1. GP 35). Daraus folgt, dass für das Vorliegen einer staatlichen Behörde nicht organisationsrechtliche, sondern allein funktionale Aspekte maßgeblich sind. Unter staatlichen Behörden sind demnach zunächst all jene Organe eines Rechtsträgers zu verstehen, denen allgemein die Befugnis zukommt, Hoheitsakte zu setzen. Da die organisationsrechtliche Ausgestaltung unerheblich ist, fallen auch Hoheitsakte beliehener Privater unter den Behördenbegriff (Ennöckl in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Art. 1 DSG [Stand 01.01.2021, rdb.at] Rz 34). Staatliche Tätigkeiten der Privatwirtschaftsverwaltung sind demgegenüber ebenso wenig erfasst wie nicht-hoheitliche Tätigkeiten Privater. Nur in diesem funktionellen Anwendungsbereich besteht der staatliche Eingriffsvorbehalt (Lachmayer in Knyrim, DatKomm Art. 1 DSGVO [Stand 01.12.2018, rdb.at] Rz 119).Der Begriff der „staatlichen Behörde“ wird im DSG nicht definiert. Die Gesetzesmaterialien zum DSG 2000 führen aus, dass darunter ein „hoheitlich handelndes staatliches Organ“ verstanden werden soll Regierungsvorlage 1613 BlgNR
2. Gesetzgebungsperiode 35). Daraus folgt, dass für das Vorliegen einer staatlichen Behörde nicht organisationsrechtliche, sondern allein funktionale Aspekte maßgeblich sind. Unter staatlichen Behörden sind demnach zunächst all jene Organe eines Rechtsträgers zu verstehen, denen allgemein die Befugnis zukommt, Hoheitsakte zu setzen. Da die organisationsrechtliche Ausgestaltung unerheblich ist, fallen auch Hoheitsakte beliehener Privater unter den Behördenbegriff (Ennöckl in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Artikel eins, DSG [Stand 01.01.2021, rdb.at] Rz 34). Staatliche Tätigkeiten der Privatwirtschaftsverwaltung sind demgegenüber ebenso wenig erfasst wie nicht-hoheitliche Tätigkeiten Privater. Nur in diesem funktionellen Anwendungsbereich besteht der staatliche Eingriffsvorbehalt (Lachmayer in Knyrim, DatKomm Artikel eins, DSGVO [Stand 01.12.2018, rdb.at] Rz 119). Zufolge der Rechtsprechung des Verwaltungsgerichthofes bestimmt sich, ob eine von den Verwaltungsbehörden zu besorgende Aufgabe zur Hoheitsverwaltung oder zur Privatwirtschaftsverwaltung zählt, danach, in welchen Rechtsformen die betreffende Angelegenheit zu vollziehen ist. Nur wenn der Behörde der Vollzug in einer allein dem Staat zustehenden hoheitlichen Handlungsform (Verordnung, Bescheid, Ausübung unmittelbarer behördlicher Befehls- und Zwangsgewalt) aufgetragen ist, handelt es sich um Hoheitsverwaltung; die Verwaltungsbehörde übt insoweit „imperium“ aus; andernfalls liegt Privatwirtschaftsverwaltung vor. Zu beachten ist hierbei, dass Privatwirtschaftsverwaltung als nicht hoheitliches Verwaltungshandeln sowohl im Bereich des Privatrechts als auch des öffentlichen Rechts vorkommt und dass daher die Unterscheidung zwischen Hoheitsverwaltung und Privatwirtschaftsverwaltung nicht mit jener zwischen öffentlichem und privatem Recht zusammenfällt (vgl ua VwGH 22.09.1995, 93/11/0221; VwGH 26.06.2012, 2011/11/0005). Als Akt der Privatwirtschaftsverwaltung wurde vom Verfassungsgerichtshof etwa der Abschluss von Dienstverhältnissen für Vertragsbedienstete qualifiziert (VfSlg 18.616).Zufolge der Rechtsprechung des Verwaltungsgerichthofes bestimmt sich, ob eine von den Verwaltungsbehörden zu besorgende Aufgabe zur Hoheitsverwaltung oder zur Privatwirtschaftsverwaltung zählt, danach, in welchen Rechtsformen die betreffende Angelegenheit zu vollziehen ist. Nur wenn der Behörde der Vollzug in einer allein dem Staat zustehenden hoheitlichen Handlungsform (Verordnung, Bescheid, Ausübung unmittelbarer behördlicher Befehls- und Zwangsgewalt) aufgetragen ist, handelt es sich um Hoheitsverwaltung; die Verwaltungsbehörde übt insoweit „imperium“ aus; andernfalls liegt Privatwirtschaftsverwaltung vor. Zu beachten ist hierbei, dass Privatwirtschaftsverwaltung als nicht hoheitliches Verwaltungshandeln sowohl im Bereich des Privatrechts als auch des öffentlichen Rechts vorkommt und dass daher die Unterscheidung zwischen Hoheitsverwaltung und Privatwirtschaftsverwaltung nicht mit jener zwischen öffentlichem und privatem Recht zusammenfällt vergleiche ua VwGH 22.09.1995, 93/11/0221; VwGH 26.06.2012, 2011/11/0005). Als Akt der Privatwirtschaftsverwaltung wurde vom Verfassungsgerichtshof etwa der Abschluss von Dienstverhältnissen für Vertragsbedienstete qualifiziert (VfSlg 18.616). Unbestritten ist, dass die BF als eine Einrichtung der österreichischen Sozialversicherung eine Körperschaft öffentlichen Rechts ist. Die dienstrechtlichen Verhältnisse für die Bediensteten der Versicherungsträger werden durch privatrechtliche Verträge geregelt und nicht in Form von Bescheiden (§ 460 Abs. 1 Satz 1 ASVG). Im Verhältnis zu ihren MitarbeiterInnen liegt also kein hoheitliches Handeln der BF vor. Entgegen der Behauptung der belangten Behörde bedarf es daher diesbezüglich auch keiner gesetzlichen Grundlage iSd § 1 Abs. 2 DSG. Unbestritten ist, dass die BF als eine Einrichtung der österreichischen Sozialversicherung eine Körperschaft öffentlichen Rechts ist. Die dienstrechtlichen Verhältnisse für die Bediensteten der Versicherungsträger werden durch privatrechtliche Verträge geregelt und nicht in Form von Bescheiden (Paragraph 460, Absatz eins, Satz 1 ASVG). Im Verhältnis zu ihren MitarbeiterInnen liegt also kein hoheitliches Handeln der BF vor. Entgegen der Behauptung der belangten Behörde bedarf es daher diesbezüglich auch keiner gesetzlichen Grundlage iSd Paragraph eins, Absatz 2, DSG. Jede Verarbeitung personenbezogener Daten muss zum einen mit den in Art. 5 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen einem der in Art. 6 DSGVO aufgeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen (EuGH 22.06.2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rz. 96).Jede Verarbeitung personenbezogener Daten muss zum einen mit den in Artikel 5, DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen einem der in Artikel 6, DSGVO aufgeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen (EuGH 22.06.2021, Latvijas Republikas Saeima [Strafpunkte], C-439/19, EU:C:2021:504, Rz. 96). Nach dem Grundsatz der Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) muss sichergestellt werden, dass personenbezogene Daten, die für einen festgelegten Zweck erhoben werden, nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.

Art. 5Abs.

1 lit. c DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“). Art. 5 Abs. 1 lit. c DSGVO orientiert die Begrenzung des Umfangs der Daten ausdrücklich am Verarbeitungszweck. Mit seiner Orientierung am Verarbeitungszweck ergänzt der Grundsatz des Art. 5 Abs. 1 lit. c DSGVO den Grundsatz der Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO. Er stellt sicher, dass die Verarbeitung personenbezogener Daten durch den festgelegten Zweck begrenzt wird. Umgekehrt ergänzt der Grundsatz der Zweckbindung den Grundsatz der Datenminimierung dadurch, dass er normative Aussagen zur Zweckfestlegung und Zweckänderung trifft und damit sicherstellt, dass der „Zweck“, der den maßgeblichen Orientierungspunkt für die Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO darstellt, auf bestimmte Weise fixiert ist und nicht beliebig gewählt und geändert werden kann. Der Grundsatz der Datenminimierung verlangt nicht nach einer absoluten Reduzierung oder Beschränkung der Datenmenge; wenn der Zweck der Verarbeitung nur durch die Verarbeitung großer Datenmengen erreicht werden kann, verstößt eine solche Datenverarbeitung nicht gegen diesen Grundsatz (Herbst in Kühling/Buchner, DSGVO/BDSG3, Art 5 Rn. 55f). Die Daten sind dem Zweck angemessen, wenn sie überhaupt einen Bezug zum Verarbeitungszweck haben, und sie sind erheblich, wenn ihre Verarbeitung geeignet ist, den festgelegten Zweck zu fördern. Dass die Daten auf das notwendige Maß zu beschränken sind, bedeutet insbesondere, dass die Menge von Daten in der Weise zu begrenzen ist, dass zusätzliche – für sich genommen ggf. auch angemessene und erhebliche – Daten nicht verarbeitet werden dürfen, wenn der Verarbeitungszweck auch ohne sie erreicht werden kann (Herbst in Kühling/Buchner, DSGVO/BDSG3, Art 5 Rn. 57). Der Grundrechtseingriff ist auch dadurch zu minimieren, dass die Zahl der betroffenen Personen so begrenzt wie möglich gehalten wird (Roßnagel in Simitis/Hornung/Spiecker, DSGVO mit BDSG, Art. 5 Rn. 131). Aus dem Erfordernis, dass die verarbeiteten personenbezogenen Daten auch für diese Zwecke erheblich sein müssen, ergibt sich, dass keine Daten erhoben werden dürfen, die nicht oder nicht mehr geeignet sind, zur Erreichung der mit der Verarbeitung verfolgten Zwecke beizutragen (Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung: DS-GVO2, Art. 5 Rz 22).Nach dem Grundsatz der Zweckbindung (Artikel 5, Absatz eins, Litera b, DSGVO) muss sichergestellt werden, dass personenbezogene Daten, die für einen festgelegten Zweck erhoben werden, nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.

Artikel 5

, Absatz eins, Litera c, DSGVO müssen personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“). Artikel 5, Absatz eins, Litera c, DSGVO orientiert die Begrenzung des Umfangs der Daten ausdrücklich am Verarbeitungszweck. Mit seiner Orientierung am Verarbeitungszweck ergänzt der Grundsatz des Artikel 5, Absatz eins, Litera c, DSGVO den Grundsatz der Zweckbindung nach Artikel 5, Absatz eins, Litera b, DSGVO. Er stellt sicher, dass die Verarbeitung personenbezogener Daten durch den festgelegten Zweck begrenzt wird. Umgekehrt ergänzt der Grundsatz der Zweckbindung den Grundsatz der Datenminimierung dadurch, dass er normative Aussagen zur Zweckfestlegung und Zweckänderung trifft und damit sicherstellt, dass der „Zweck“, der den maßgeblichen Orientierungspunkt für die Datenminimierung nach Artikel 5, Absatz eins, Litera c, DSGVO darstellt, auf bestimmte Weise fixiert ist und nicht beliebig gewählt und geändert werden kann. Der Grundsatz der Datenminimierung verlangt nicht nach einer absoluten Reduzierung oder Beschränkung der Datenmenge; wenn der Zweck der Verarbeitung nur durch die Verarbeitung großer Datenmengen erreicht werden kann, verstößt eine solche Datenverarbeitung nicht gegen diesen Grundsatz (Herbst in Kühling/Buchner, DSGVO/BDSG3, Artikel 5, Rn. 55f). Die Daten sind dem Zweck angemessen, wenn sie überhaupt einen Bezug zum Verarbeitungszweck haben, und sie sind erheblich, wenn ihre Verarbeitung geeignet ist, den festgelegten Zweck zu fördern. Dass die Daten auf das notwendige Maß zu beschränken sind, bedeutet insbesondere, dass die Menge von Daten in der Weise zu begrenzen ist, dass zusätzliche – für sich genommen ggf. auch angemessene und erhebliche – Daten nicht verarbeitet werden dürfen, wenn der Verarbeitungszweck auch ohne sie erreicht werden kann (Herbst in Kühling/Buchner, DSGVO/BDSG3, Artikel 5, Rn. 57). Der Grundrechtseingriff ist auch dadurch zu minimieren, dass die Zahl der betroffenen Personen so begrenzt wie möglich gehalten wird (Roßnagel in Simitis/Hornung/Spiecker, DSGVO mit BDSG, Artikel 5, Rn. 131). Aus dem Erfordernis, dass die verarbeiteten personenbezogenen Daten auch für diese Zwecke erheblich sein müssen, ergibt sich, dass keine Daten erhoben werden dürfen, die nicht oder nicht mehr geeignet sind, zur Erreichung der mit der Verarbeitung verfolgten Zwecke beizutragen (Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung: DS-GVO2, Artikel 5, Rz 22). Nach Art. 6 Abs. 1 lit. f DSGVO ist die Verarbeitung personenbezogener Daten nur zulässig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Somit ist nach dieser Bestimmung die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig: erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen (vgl. EuGH 17.6.2021, C-597/19, M.I.C.M., ECLI:EU:C:2021:492, Rz. 106, mwN).Nach Artikel 6, Absatz eins, Litera f, DSGVO ist die Verarbeitung personenbezogener Daten nur zulässig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Somit ist nach dieser Bestimmung die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig: erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, nicht überwiegen vergleiche EuGH 17.6.2021, C-597/19, M.I.C.M., ECLI:EU:C:2021:492, Rz. 106, mwN). Zur Voraussetzung der Erforderlichkeit der Verarbeitung der personenbezogenen Daten für die Verwirklichung des wahrgenommenen berechtigten Interesses ist zu beachten, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das absolut Notwendige beschränken müssen (vgl. EuGH 17.6.2021, C-597/19, M.I.C.M., ECLI:EU:C:2021:492, Rz. 110, mwN). Zur Voraussetzung der Erforderlichkeit der Verarbeitung der personenbezogenen Daten für die Verwirklichung des wahrgenommenen berechtigten Interesses ist zu beachten, dass sich die Ausnahmen und Einschränkungen in Bezug auf den Schutz personenbezogener Daten auf das absolut Notwendige beschränken müssen vergleiche EuGH 17.6.2021, C-597/19, M.I.C.M., ECLI:EU:C:2021:492, Rz. 110, mwN). Wie bereits dargelegt, war die BF bei der Durchsuchung der E-Mail-Logfiles ihrer MitarbeiterInnen nicht hoheitlich tätig, sondern im Rahmen der Privatwirtschaftsverwaltung, sodass sich die BF auf Art. 6 Abs. 1 lit. f DSGVO berufen kann.Wie bereits dargelegt, war die BF bei der Durchsuchung der E-Mail-Logfiles ihrer MitarbeiterInnen nicht hoheitlich tätig, sondern im Rahmen der Privatwirtschaftsverwaltung, sodass sich die BF auf Artikel 6, Absatz eins, Litera f, DSGVO berufen kann. Da einzelne Textpassagen des Wortprotokolls der Verwaltungsratssitzung vom 30.07.2020 in einem XXXX -Artikel vom 15.08.2020 erschienen waren, durchsuchte die BF am 22.02.2021 die E-Mail-Logfiles von rund 6000 Mitarbeiterinnen, darunter auch jene der MP, um die Person(

1. en)ausfindig zu machen, die das Wortprotokoll an XXXX übermittelt haben könnte(n). Da einzelne Textpassagen des Wortprotokolls der Verwaltungsratssitzung vom 30.07.2020 in einem römisch 40 -Artikel vom 15.08.2020 erschienen waren, durchsuchte die BF am 22.02.2021 die E-Mail-Logfiles von rund 6000 Mitarbeiterinnen, darunter auch jene der MP, um die Person(
2. en)ausfindig zu machen, die das Wortprotokoll an römisch 40 übermittelt haben könnte(n). Die BF führte aus, dass sie die Verarbeitung der personenbezogenen Daten im Hinblick auf die Logfile-Auswertung auf Art. 6 Abs. 1 lit. f iVm Art. 9 Abs. 2 lit. f DSGVO stütze, als Vorbereitungshandlung zu einer allfällig erforderlichen Geltendmachung von Rechtsansprüchen bzw. der Abwehr fremder Rechtsansprüche. Das berechtigte Interesse an diesem Verarbeitungsvorgang ergebe sich aus ihrem Interesse an der Rechtmäßigkeit der Verarbeitung personenbezogener Daten durch ihre MitarbeiterInnen und ihrem Interesse an der Wahrung von Geschäftsgeheimnissen. Auch in ihrer Bescheidbeschwerde gibt die BF als Grund für die Datenverarbeitung ihre Vermutung, dass die mögliche Dienstpflichtverletzung durch Verwendung des durch die BF für ihre Bediensteten zur Verfügung gestellte E-Mail-System erfolgt sei, an. In ihrer Stellungnahme vom 16.02.2023 hält die BF ebenfalls fest, dass sie ein Interesse an der Aufklärung einer möglichen Dienstpflichtverletzung habe. Die BF führte aus, dass sie die Verarbeitung der personenbezogenen Daten im Hinblick auf die Logfile-Auswertung auf Artikel 6, Absatz eins, Litera f, in Verbindung mit Artikel 9, Absatz 2, Litera f, DSGVO stütze, als Vorbereitungshandlung zu einer allfällig erforderlichen Geltendmachung von Rechtsansprüchen bzw. der Abwehr fremder Rechtsansprüche. Das berechtigte Interesse an diesem Verarbeitungsvorgang ergebe sich aus ihrem Interesse an der Rechtmäßigkeit der Verarbeitung personenbezogener Daten durch ihre MitarbeiterInnen und ihrem Interesse an der Wahrung von Geschäftsgeheimnissen. Auch in ihrer Bescheidbeschwerde gibt die BF als Grund für die Datenverarbeitung ihre Vermutung, dass die mögliche Dienstpflichtverletzung durch Verwendung des durch die BF für ihre Bediensteten zur Verfügung gestellte E-Mail-System erfolgt sei, an. In ihrer Stellungnahme vom 16.02.2023 hält die BF ebenfalls fest, dass sie ein Interesse an der Aufklärung einer möglichen Dienstpflichtverletzung habe. Die Ansicht der MP, wonach kein Interesse der BF an der Geheimhaltung von Geschäftsgeheimnissen bzw. an der Feststellung der Verletzung eines Geschäftsgeheimnisses gegeben sei, kann nicht gefolgt werden. Die MP beziehen sich dabei auf die Umstände, dass alle MitarbeiterInnen über die geplante Übersiedlung noch am selben Tag informiert worden seien, dass Beschlüsse des Verwaltungsrates im Internet veröffentlicht werden würden und dass die Namen der Personen, auf welche sich die Zitate im veröffentlichten Artikel bezogen hätten, auf der Homepage der BF öffentlich zugänglich seien. Dabei verkennen die MP jedoch, dass Auszüge aus dem Wortprotokoll einer nicht öffentlichen Sitzung, die wörtliche Aussagen von namentlich genannten Sprechern wiedergeben, - so wie diese im XXXX -Artikel vom 15.08.2020 zitiert wurden – nicht allgemein verfügbar sind und daher ein Geschäftsgeheimnis darstellen:Die Ansicht der MP, wonach kein Interesse der BF an der Geheimhaltung von Geschäftsgeheimnissen bzw. an der Feststellung der Verletzung eines Geschäftsgeheimnisses gegeben sei, kann nicht gefolgt werden. Die MP beziehen sich dabei auf die Umstände, dass alle MitarbeiterInnen über die geplante Übersiedlung noch am selben Tag informiert worden seien, dass Beschlüsse des Verwaltungsrates im Internet veröffentlicht werden würden und dass die Namen der Personen, auf welche sich die Zitate im veröffentlichten Artikel bezogen hätten, auf der Homepage der BF öffentlich zugänglich seien. Dabei verkennen die MP jedoch, dass Auszüge aus dem Wortprotokoll einer nicht öffentlichen Sitzung, die wörtliche Aussagen von namentlich genannten Sprechern wiedergeben, - so wie diese im römisch 40 -Artikel vom 15.08.2020 zitiert wurden – nicht allgemein verfügbar sind und daher ein Geschäftsgeheimnis darstellen: Ein Verwaltungskörper der Versicherungsträger ist u.a. der Verwaltungsrat (§ 419 Z 1 ASVG) und sind Sitzungen der Verwaltungskörper nicht öffentlich (§ 435 Abs. 1 ASVG). Aus der Nichtöffentlichkeit der Sitzung folgt, dass auch die Sitzungsprotokolle nur den SitzungsteilnehmerInnen bzw. den Mitgliedern des betreffenden Verwaltungskörpers zugänglich sein sollten (Thomas Müller in Mosler/Müller/Pfeil, Der SV-Komm § 435 ASVG [Stand 01.03.2022, rdb.at] Rz. 1). Nach § 424 ASVG haben die Mitglieder der Verwaltungskörper der Versicherungsträger und des Dachverbandes bei der Ausübung ihres Amtes die Rechtsvorschriften zu beachten und sind diese zur Amtsverschwiegenheit und zur gewissenhaften und unparteiischen Ausübung ihres Amtes verpflichtet. Sind Tatsachen bereits öffentlich und allgemein bekannt, besteht keine Geheimhaltungspflicht. In diesem Fall besteht daher kein überwiegendes Interesse des Betroffenen an der Geheimhaltung (mehr) (Riesz in Mosler/Müller/Pfeil, Der SV-Komm § 424 [Stand 01.07.2020 rdb.at] Rz 8).Ein Verwaltungskörper der Versicherungsträger ist u.a. der Verwaltungsrat (Paragraph 419, Ziffer eins, ASVG) und sind Sitzungen der Verwaltungskörper nicht öffentlich (Paragraph 435, Absatz eins, ASVG). Aus der Nichtöffentlichkeit der Sitzung folgt, dass auch die Sitzungsprotokolle nur den SitzungsteilnehmerInnen bzw. den Mitgliedern des betreffenden Verwaltungskörpers zugänglich sein sollten (Thomas Müller in Mosler/Müller/Pfeil, Der SV-Komm Paragraph 435, ASVG [Stand 01.03.2022, rdb.at] Rz. 1). Nach Paragraph 424, ASVG haben die Mitglieder der Verwaltungskörper der Versicherungsträger und des Dachverbandes bei der Ausübung ihres Amtes die Rechtsvorschriften zu beachten und sind diese zur Amtsverschwiegenheit und zur gewissenhaften und unparteiischen Ausübung ihres Amtes verpflichtet. Sind Tatsachen bereits öffentlich und allgemein bekannt, besteht keine Geheimhaltungspflicht. In diesem Fall besteht daher kein überwiegendes Interesse des Betroffenen an der Geheimhaltung (mehr) (Riesz in Mosler/Müller/Pfeil, Der SV-Komm Paragraph 424, [Stand 01.07.2020 rdb.at] Rz 8). Da im vorliegenden Fall die veröffentlichten personenbezogenen Daten (wörtliche Aussagen von namentlich genannten Sprechern) zum Zeitpunkt der Veröffentlichung nicht bereits allgemein bekannt waren, besteht diesbezüglich – vor dem Hintergrund, dass diese Daten im Rahmen einer nicht öffentlichen Sitzung erhoben wurden – eine Geheimhaltungspflicht. Daher ist der BF beizupflichten, dass jedenfalls jene Personen, deren Namen und Wortmeldungen im offengelegten Wortprotokoll enthalten sind, in ihren Interessen verletzt sind. Entgegen der Ansicht der MP ist es nachvollziehbar, dass ein begründetes Interesse der BF bzw. von Dritten (Personen, deren Namen und Wortmeldungen aus dem Wortprotokoll auszugsweise wiedergegeben wurden) an der Rechtmäßigkeit der Verarbeitung personenbezogener Daten durch Mitarbeiterinnen der BF bzw. ein Interesse an der Aufklärung einer möglichen Dienstpflichtverletzung durch Mitarbeiterinnen der BF besteht. Hingegen ist angesichts folgender Erwägungen nicht nachvollziehbar, dass die vorgenommene Verarbeitung von personenbezogenen Daten zur Wahrung dieser berechtigten Interessen der BF oder eines Dritten erforderlich ist: Im vorliegenden Fall nahm die BF eine Auswertung der E-Mail-Logfiles aller MitarbeiterInnen mit Einschränkung auf die Empfängerdomain „ XXXX “ vor. Es erfolgte keine weitere Einschränkung (etwa auf besondere Personengruppen oder Abteilungen) und wurden insgesamt 6000 technische Mail-Serverprotokolle (Logfiles) ohne Mailinhalte durchsucht. Sofern die BF in diesem Zusammenhang vorbrachte, dass faktisch jede Person, die rechtmäßig oder unrechtmäßig Zugriff auf das elektronische Dokument des Wortprotokolls bzw. auf eine Kopie davon gehabt habe, in der Lage gewesen sei, das Dokument an die Domain „ XXXX “ zu schicken, und somit die Einschränkung auf einen bestimmten Personenkreis nicht möglich gewesen sei, sind ihr die Ausführungen in ihrer Beschwerde entgegenzuhalten, wonach der Titel der Veröffentlichung und die darin erwähnten „Betriebsräte“ geradezu dafür sprächen, eine bestimmte Personengruppe, nämlich die Betriebsräte, in die Abfrage miteinzubeziehen. Die MP seien laut der BF Teilmenge der potenziell einer Dienstpflichtverletzung bzw. Verletzung der Vertraulichkeitsverpflichtung verdächtigen Personen gewesen. Somit gab es – auch laut eigenen Angaben der BF – sehr wohl Personengruppen, die „verdächtiger“ als andere waren und hätte daher eine Einschränkung auf diese besonderen Personenkreise vorgenommen werden sollen. Da die MP allerdings jeweils den Organen des Betriebsrates bzw. Zentralbetriebsrates zugehörig sind, wären ihre Logfiles selbst bei einer möglichen Einschränkung auf bestimmte Personen von der vorgenommenen Datenverarbeitung erfasst gewesen. Daher kann im vorliegenden Beschwerdefall die fehlende Einschränkung auf einen bestimmten Personenkreis und folglich ein Verstoß gegen den Grundsatz der Datenminimierung von den MP in dieser Hinsicht nicht geltend gemacht werden.Im vorliegenden Fall nahm die BF eine Auswertung der E-Mail-Logfiles aller MitarbeiterInnen mit Einschränkung auf die Empfängerdomain „ römisch 40 “ vor. Es erfolgte keine weitere Einschränkung (etwa auf besondere Personengruppen oder Abteilungen) und wurden insgesamt 6000 technische Mail-Serverprotokolle (Logfiles) ohne Mailinhalte durchsucht. Sofern die BF in diesem Zusammenhang vorbrachte, dass faktisch jede Person, die rechtmäßig oder unrechtmäßig Zugriff auf das elektronische Dokument des Wortprotokolls bzw. auf eine Kopie davon gehabt habe, in der Lage gewesen sei, das Dokument an die Domain „ römisch 40 “ zu schicken, und somit die Einschränkung auf einen bestimmten Personenkreis nicht möglich gewesen sei, sind ihr die Ausführungen in ihrer Beschwerde entgegenzuhalten, wonach der Titel der Veröffentlichung und die darin erwähnten „Betriebsräte“ geradezu dafür sprächen, eine bestimmte Personengruppe, nämlich die Betriebsräte, in die Abfrage miteinzubeziehen. Die MP seien laut der BF Teilmenge der potenziell einer Dienstpflichtverletzung bzw. Verletzung der Vertraulichkeitsverpflichtung verdächtigen Personen gewesen. Somit gab es – auch laut eigenen Angaben der BF – sehr wohl Personengruppen, die „verdächtiger“ als andere waren und hätte daher eine Einschränkung auf diese besonderen Personenkreise vorgenommen werden sollen. Da die MP allerdings jeweils den Organen des Betriebsrates bzw. Zentralbetriebsrates zugehörig sind, wären ihre Logfiles selbst bei einer möglichen Einschränkung auf bestimmte Personen von der vorgenommenen Datenverarbeitung erfasst gewesen. Daher kann im vorliegenden Beschwerdefall die fehlende Einschränkung auf einen bestimmten Personenkreis und folglich ein Verstoß gegen den Grundsatz der Datenminimierung von den MP in dieser Hinsicht nicht geltend gemacht werden. Davon abgesehen entspricht die Vorgehensweise der BF nicht ihrem Vorbringen, wonach – angelehnt an das Modell der stufenweisen Kontrollverdichtung – ein mehrstufiges Szenario für die Auswertung im konkreten Anlassfall geplant worden sei, um den Eingriff in die Rechte und Grundfreiheiten der allenfalls betroffenen Personen möglichst gering zu halten und nicht alle MitarbeiterInnen unter Generalverdacht zu stellen (Stellungnahme vom 11.04.2022, Seite 2), denn es wurden alle MitarbeiterInnen unter Generalverdacht gestellt, obwohl nur 21 Personen (darunter auch MP 2) an dieser Verwaltungsratssitzung, in der das Wortprotokoll erstellt worden war, teilgenommen und 26 Personen Zugriff auf das gespeicherte Wortprotokoll hatten. Daher hätte die BF in einem ersten Schritt eine mögliche Dienstpflichtverletzung durch die an dieser Sitzung teilnehmenden Personen bzw. die Personen, die auf das gespeicherte Wortprotokoll Zugriff hatten, prüfen können. Um eine Verletzung der Verschwiegenheitspflicht bzw. Dienstpflichtverletzung im Zusammenhang mit einem Wortprotokoll, das nur einer bestimmten Anzahl von Personen bekannt war, feststellen zu können, war die Verarbeitung von personenbezogener Daten aller rund 6000 MitarbeiterInnen nicht notwendig. Insbesondere ist festzuhalten, dass die Auswertung der E-Mail-Logfiles aller MitarbeiterInnen ab dem 30.07.2020 mit Einschränkung auf die Empfängerdomain „ XXXX “ aufgrund des am 15.08.2020 veröffentlichten Artikels auf „ XXXX “ in Auftrag gegeben wurde. Damit bezweckte die BF zu klären, wer von ihren MitarbeiterInnen in der Zeit zwischen 30.07.2020 (Tag der Verwaltungsratssitzung) und 15.08.2020 (Tag der Artikelveröffentlichung) das Wortprotokoll der Verwaltungsratssitzung an XXXX übermittelt haben könnte. Wie sich aus der E-Mail-Korrespondenz vom 22.02.2021 aber ergibt, war eine Auswertung der E-Mail-Logfiles für den Zeitraum 30.07.2020 bis 15.08.2020 zum Zeitpunkt der tatsächlichen Datenverarbeitung von vornherein nicht mehr möglich, da die Logfiles nur 90 Tage verfügbar sind. Demnach wurden lediglich Logfile-Daten der letzten 90 Tage vor der Auswertung am 22.02.2021 verarbeitet. Die BF hat aber nicht dargelegt, inwiefern die Auswertung der E-Mail-Logfiles der letzten 90 Tage vor 22.01.2021 für ihren Zweck erforderlich gewesen wäre. Schließlich war die von der BF vorgenommene Kontrollmaßnahme überhaupt nicht geeignet, eine etwaige Weiterleitung einzelner Textpassagen aus dem Wortprotokoll der Verwaltungsratssitzung vom 30.07.2020 durch Auswertung von E-Mail-Logfiles aufzuspüren. Die Verwaltungsratssitzung hatte am 30.07.2020 stattgefunden und der Artikel wurde am 15.08.2020 veröffentlicht. Laut ihrem hauseigenen Techniker war zum Zeitpunkt der Anfrage eine Auswertung zum maßgeblichen Zeitraum nicht mehr möglich. Insbesondere ist festzuhalten, dass die Auswertung der E-Mail-Logfiles aller MitarbeiterInnen ab dem 30.07.2020 mit Einschränkung auf die Empfängerdomain „ römisch 40 “ aufgrund des am 15.08.2020 veröffentlichten Artikels auf „ römisch 40 “ in Auftrag gegeben wurde. Damit bezweckte die BF zu klären, wer von ihren MitarbeiterInnen in der Zeit zwischen 30.07.2020 (Tag der Verwaltungsratssitzung) und 15.08.2020 (Tag der Artikelveröffentlichung) das Wortprotokoll der Verwaltungsratssitzung an römisch 40 übermittelt haben könnte. Wie sich aus der E-Mail-Korrespondenz vom 22.02.2021 aber ergibt, war eine Auswertung der E-Mail-Logfiles für den Zeitraum 30.07.2020 bis 15.08.2020 zum Zeitpunkt der tatsächlichen Datenverarbeitung von vornherein nicht mehr möglich, da die Logfiles nur 90 Tage verfügbar sind. Demnach wurden lediglich Logfile-Daten der letzten 90 Tage vor der Auswertung am 22.02.2021 verarbeitet. Die BF hat aber nicht dargelegt, inwiefern die Auswertung der E-Mail-Logfiles der letzten 90 Tage vor 22.01.2021 für ihren Zweck erforderlich gewesen wäre. Schließlich war die von der BF vorgenommene Kontrollmaßnahme überhaupt nicht geeignet, eine etwaige Weiterleitung einzelner Textpassagen aus dem Wortprotokoll der Verwaltungsratssitzung vom 30.07.2020 durch Auswertung von E-Mail-Logfiles aufzuspüren. Die Verwaltungsratssitzung hatte am 30.07.2020 stattgefunden und der Artikel wurde am 15.08.2020 veröffentlicht. Laut ihrem hauseigenen Techniker war zum Zeitpunkt der Anfrage eine Auswertung zum maßgeblichen Zeitraum nicht mehr möglich. Die Verarbeitung der personenbezogenen Daten der MP war daher nicht (mehr) geeignet, den mit der Verarbeitung verfolgten Zweck zu erreichen. Damit hat die BF gegen den Grundsatz der Datenminimierung

Art. 5. Abs.

1 lit. c DSGVO verstoßen. Die Verarbeitung der personenbezogenen Daten der MP war daher nicht (mehr) geeignet, den mit der Verarbeitung verfolgten Zweck zu erreichen. Damit hat die BF gegen den Grundsatz der Datenminimierung

Artikel 5, Absatz eins, Litera c, DSGVO verstoßen.

Der Vollständigkeit halber ist zudem zu erwähnen, dass laut Betriebsvereinbarung über die Verwendung elektronischer Informations- und Kommunikationsmedien der BF der örtliche Betriebsrat hinzuzuziehen ist, wenn bei begründetem Verdacht auf missbräuchliche Nutzung, auf Verletzung der dienstrechtlichen Verschwiegenheitspflicht bzw. auf die unberechtigte Einsichtnahme in E-Mails Dritter Einblick in das Protokoll bzw. in die Inhalte von E-Mails seitens der BF genommen werden muss. Im vorliegenden Fall konnte jedoch festgestellt werden, dass lediglich die Betriebsratsvorsitzende der Hauptstelle S in die geplante Datenverarbeitung involviert war, nicht jedoch örtliche Betriebsräte der Arbeitsstellen der MP. Die BF hat somit gegen die zitierte Regelung in der Betriebsvereinbarung verstoßen, indem sie die örtlichen Betriebsratskörperschaften der MP in die von ihre geplante Einschau in die E-Mail-Protokolldaten der MitarbeiterInnen, darunter auch in jene der MP, nicht hinzugezogen hat. Wie festgestellt werden konnte, lag auch keine Zustimmung des Zentralbetriebsrates an der durchgeführten Auswertung der E-Mail-Logfiles aller MitarbeiterInnen vor. Die Involvierung von S als Betriebsratsvorsitzende der Hauptstelle und Mitglied des Zentralbetriebsrates konnte für die vorgenommene Auswertung jedenfalls nicht ausreichend sein. Somit können nähere Ausführungen zur Kompetenz der Belegschaftsvertretungsorgane im vorliegenden Fall unterbleiben. Vor diesem Hintergrund kann die Verarbeitung der personenbezogenen Daten zur Verwirklichung des Interesses der BF an der Aufklärung einer möglichen Dienstpflichtverletzung durch ihre MitarbeiterInnen nicht erforderlich gewesen sein. Die BF kann sich daher nicht auf eine rechtmäßige Verarbeitung

Art. 6Abs.

1 lit. f DSGVO stützen. Vor diesem Hintergrund kann die Verarbeitung der personenbezogenen Daten zur Verwirklichung des Interesses der BF an der Aufklärung einer möglichen Dienstpflichtverletzung durch ihre MitarbeiterInnen nicht erforderlich gewesen sein. Die BF kann sich daher nicht auf eine rechtmäßige Verarbeitung

Artikel 6, Absatz eins, Litera f, DSGVO stützen.

Folglich war die Bescheidbeschwerde der BF als unbegründet abzuweisen und – nachdem die Auswertung der Logfiles am 22.02.2021 erfolgte, Logfiles nur 90 Tage verfügbar sind und eine Durchsuchung der Logfiles der MP für den Zeitraum 30.07.2020 bis 15.08.2020 daher faktisch nicht möglich war – Spruchpunkt 1 des bekämpften Bescheides mit der Maßgabe zu bestätigen, dass die BF die MP in ihrem Recht auf Geheimhaltung verletzt hat, indem die BF am 22.02.2021 die technischen Mail-Serverprotokolle (Logfiles) der MP hinsichtlich einer Kommunikation mit der Empfängerdomain „ XXXX “ unrechtmäßig durchsucht hat.Folglich war die Bescheidbeschwerde der BF als unbegründet abzuweisen und – nachdem die Auswertung der Logfiles am 22.02.2021 erfolgte, Logfiles nur 90 Tage verfügbar sind und eine Durchsuchung der Logfiles der MP für den Zeitraum 30.07.2020 bis 15.08.2020 daher faktisch nicht möglich war – Spruchpunkt 1 des bekämpften Bescheides mit der Maßgabe zu bestätigen, dass die BF die MP in ihrem Recht auf Geheimhaltung verletzt hat, indem die BF am 22.02.2021 die technischen Mail-Serverprotokolle (Logfiles) der MP hinsichtlich einer Kommunikation mit der Empfängerdomain „ römisch 40 “ unrechtmäßig durchsucht hat. 3.

1. Der maßgebliche Sachverhalt konnte als durch die Aktenlage hinreichend geklärt erachtet werden. In der Beschwerde wurden keine noch zu klärenden Tatsachenfragen in konkreter und substantiierter Weise aufgeworfen und war gegenständlich auch keine komplexe Rechtsfrage zu lösen (VwGH 31.07.2007, 2005/05/0080). Somit konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden. Dem Absehen von der Verhandlung stehen hier auch Art 6 Abs. 1 EMRK und Art 47 der Charta der Grundrechte der Europäischen Union nicht entgegen. Schließlich wurde von den Parteien auch keine Beschwerdeverhandlung beantragt bzw. konkrete Beweisanbote gestellt. Daher konnte auch aus diesen Gründen von einer Durchführung einer Verhandlung abgesehen werden (VwGH 19.10.2016, Ra 2016/12/0073).3.
2. Der maßgebliche Sachverhalt konnte als durch die Aktenlage hinreichend geklärt erachtet werden. In der Beschwerde wurden keine noch zu klärenden Tatsachenfragen in konkreter und substantiierter Weise aufgeworfen und war gegenständlich auch keine komplexe Rechtsfrage zu lösen (VwGH 31.07.2007, 2005/05/0080). Somit konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden. Dem Absehen von der Verhandlung stehen hier auch Artikel 6, Absatz eins, EMRK und Artikel 47, der Charta der Grundrechte der Europäischen Union nicht entgegen. Schließlich wurde von den Parteien auch keine Beschwerdeverhandlung beantragt bzw. konkrete Beweisanbote gestellt. Daher konnte auch aus diesen Gründen von einer Durchführung einer Verhandlung abgesehen werden (VwGH 19.10.2016, Ra 2016/12/0073). 3.
3. Zu Spruchpunkt B) (Unzulässigkeit der Revision):

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Nach Art. 133 Abs. 4 B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.Nach Artikel 133, Absatz 4, B-VG ist gegen ein Erkenntnis des Verwaltungsgerichtes die Revision zulässig, wenn sie von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt, insbesondere weil das Erkenntnis von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird. Die Revision ist unzulässig, weil keine Rechtsfrage im Sinne des Art. 133 Abs. 4 B-VG zu beurteilen war, der grundsätzliche Bedeutung zukommt.Die Revision ist unzulässig, weil keine Rechtsfrage im Sinne des Artikel 133, Absatz 4, B-VG zu beurteilen war, der grundsätzliche Bedeutung zukommt. Es war somit insgesamt spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:BVWG:2024:W176.2265906.1.00