{'item': 'W214 2253376-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum22.04.2024 GeschäftszahlW214 2253376-1 Spruch, W214 2253376-1/E W214 2253225-1/EW214 2253225-1/E, IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Viktoria HAIDINGER, LL.M., und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerden 1) der XXXX (Erstbeschwerdeführerin), 2) der XXXX (Zweitbeschwerdeführerin), 3) der XXXX (Drittbeschwerdeführerin), 4) der XXXX (Viertbeschwerdeführerin), 5) der XXXX (Fünftbeschwerdeführerin), 6) der XXXX (Sechstbeschwerdeführerin), 7) der XXXX (Siebtbeschwerdeführerin), 8) der XXXX (Achtbeschwerdeführerin), 9) des XXXX (Neuntbeschwerdeführer), und 10) der XXXX (Zehntbeschwerdeführerin), alle vertreten durch die Rechtsanwältin Dr. Maria WINDHAGER, gegen die Spruchpunkte

1. und
2. des Bescheides der Datenschutzbehörde vom 09.02.2022, Zl. XXXX , sowie 11) des XXXX (Elftbeschwerdeführer) und 12) der XXXX (Zwölftbeschwerdeführerin), beide vertreten durch STANONIK Rechtsanwälte, gegen den Spruchpunkt
3. des genannten Bescheides nach Durchführung einer mündlichen Verhandlung,Das Bundesverwaltungsgericht hat durch die Richterin Dr. Eva SOUHRADA-KIRCHMAYER als Vorsitzende sowie die fachkundigen Laienrichterinnen Mag. Viktoria HAIDINGER, LL.M., und Mag. Claudia KRAL-BAST als Beisitzerinnen über die Beschwerden 1) der römisch 40 (Erstbeschwerdeführerin), 2) der römisch 40 (Zweitbeschwerdeführerin), 3) der römisch 40 (Drittbeschwerdeführerin), 4) der römisch 40 (Viertbeschwerdeführerin), 5) der römisch 40 (Fünftbeschwerdeführerin), 6) der römisch 40 (Sechstbeschwerdeführerin), 7) der römisch 40 (Siebtbeschwerdeführerin), 8) der römisch 40 (Achtbeschwerdeführerin), 9) des römisch 40 (Neuntbeschwerdeführer), und 10) der römisch 40 (Zehntbeschwerdeführerin), alle vertreten durch die Rechtsanwältin Dr. Maria WINDHAGER, gegen die Spruchpunkte
4. und
5. des Bescheides der Datenschutzbehörde vom 09.02.2022, Zl. römisch 40 , sowie 11) des römisch 40 (Elftbeschwerdeführer) und 12) der römisch 40 (Zwölftbeschwerdeführerin), beide vertreten durch STANONIK Rechtsanwälte, gegen den Spruchpunkt
6. des genannten Bescheides nach Durchführung einer mündlichen Verhandlung, A1) beschlossen: Das Verfahren hinsichtlich der Achtbeschwerdeführerin wird wegen Zurückziehung der Beschwerde gemäß §§ 28 Abs. 1 iVm 31 Abs. Verwaltungsgerichtsverfahrensgesetz, BGBl. I Nr. 33/2013 idgF (VwGVG) eingestellt.Das Verfahren hinsichtlich der Achtbeschwerdeführerin wird wegen Zurückziehung der Beschwerde gemäß Paragraphen 28, Absatz eins, in Verbindung mit 31 Abs. Verwaltungsgerichtsverfahrensgesetz, Bundesgesetzblatt Teil eins, Nr. 33 aus 2013, idgF (VwGVG) eingestellt. A2) zu Recht erkannt: I. In Erledigung der Beschwerde des Elft- und Zwölftbeschwerdeführers wird der Spruchpunkt
7. des angefochtenen Bescheides ersatzlos behoben.römisch eins. In Erledigung der Beschwerde des Elft- und Zwölftbeschwerdeführers wird der Spruchpunkt
8. des angefochtenen Bescheides ersatzlos behoben. II. Der Beschwerde der Erst- bis Siebentbeschwerdeführer:innen sowie der Neunt- und Zehntbeschwerdführer:innen gegen die Spruchpunkte
9. und
10. des angefochtenen Bescheides wird gemäß § 28 Abs. 2 VwGVG mit der Maßgabe teilweise stattgegeben, dass diese Spruchpunkte dahingehend abgeändert werden, dass zum einen die Nummerierung des Spruchpunktes
11. auf „2.“zu lauten hat und zum anderen diese sohin wie folgt lauten:römisch zwei. Der Beschwerde der Erst- bis Siebentbeschwerdeführer:innen sowie der Neunt- und Zehntbeschwerdführer:innen gegen die Spruchpunkte
12. und
13. des angefochtenen Bescheides wird gemäß Paragraph 28, Absatz 2, VwGVG mit der Maßgabe teilweise stattgegeben, dass diese Spruchpunkte dahingehend abgeändert werden, dass zum einen die Nummerierung des Spruchpunktes
14. auf „2.“zu lauten hat und zum anderen diese sohin wie folgt lauten: „
15. Der Beschwerde wird teilweise stattgegeben und festgestellt, dass die XXXX das Grundrecht der Erst- bis Sechtstbeschwerdeführer:innen auf Geheimhaltung durch Veröffentlichung ihrer Adressen sowie das Grundrecht der der Siebent- Neunt- und Zehntbeschwerdeführer:innen auf Geheimhaltung durch die Veröffentlichung der jeweiligen ZVR-Nummer der Erst- bis Sechstbeschwerdeführer:innen (wodurch eine Rückführung auf Privatadressen der Siebent-, der Neunt- und Zehntbeschwerdeführer:innen möglich ist) auf der Website XXXX im Rahmen des Projektes XXXX , verletzt hat.„
16. Der Beschwerde wird teilweise stattgegeben und festgestellt, dass die römisch 40 das Grundrecht der Erst- bis Sechtstbeschwerdeführer:innen auf Geheimhaltung durch Veröffentlichung ihrer Adressen sowie das Grundrecht der der Siebent- Neunt- und Zehntbeschwerdeführer:innen auf Geheimhaltung durch die Veröffentlichung der jeweiligen ZVR-Nummer der Erst- bis Sechstbeschwerdeführer:innen (wodurch eine Rückführung auf Privatadressen der Siebent-, der Neunt- und Zehntbeschwerdeführer:innen möglich ist) auf der Website römisch 40 im Rahmen des Projektes römisch 40 , verletzt hat.
17. Der Beschwerde wegen Verletzung „im Recht auf Information“ bzw. der Informationspflicht wird teilweise stattgegeben und festgestellt, dass die XXXX gegenüber den Siebent-, Neunt- und Zehntbeschwerdeführer:innen ihre Informationspflicht nach Art. 14 DSGVO verletzt hat.
18. Der Beschwerde wegen Verletzung „im Recht auf Information“ bzw. der Informationspflicht wird teilweise stattgegeben und festgestellt, dass die römisch 40 gegenüber den Siebent-, Neunt- und Zehntbeschwerdeführer:innen ihre Informationspflicht nach Artikel 14, DSGVO verletzt hat. Im Übrigen wird die Beschwerde abgewiesen.“ B) Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig. , TextEntscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:
19. In ihrer an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 10.06.2021 behaupteten die rechtsanwaltlich vertretenen Erst- bis Zehntbeschwerdeführer:innen (in Folge für alle gemeinsam: BF[1 bis 10]) eine Verletzung im Recht auf Information sowie im Recht auf Geheimhaltung durch den Elftbeschwerdeführer, die Zwölftbeschwerdeführerin (Erst- bzw. Zweitbeschwerdegegnerin vor der belangten Behörde, nunmehr Elftbeschwerdeführer und Zwölftbeschwerdeführerin vor dem Bundesverwaltungsgericht, in Folge: BF11 und BF12) sowie den XXXX (Drittbeschwerdegegner vor der belangten Behörde, Mitbeteiligter vor dem Bundesverwaltungsgericht, in Folge: MB). Darin wurde im Wesentlichen vorgebracht, dass die BF am 27.05.2021 Kenntnis von der Website XXXX (in Folge: Y-Website) erlangt hätten, wobei bei dieser eine XXXX eingebettet gewesen sei. Auf der Fläche des österreichischen Bundesgebietes hätten sich zahlreiche XXXX befunden, die jeweils XXXX Vereins oder einer XXXX in Österreich XXXX hätten. Durch Anklicken eines solchen XXXX aufgerufen worden. Die Startseite habe eine XXXX Vereine und XXXX in Österreich enthalten, eine Suchfunktion erlaube die gezielte Suche nach Einrichtungen anhand vielfältiger Suchkriterien. Durch weiteres Anklicken des Namens der Einrichtung sei man zu einer der jeweiligen Einrichtung XXXX gelangt. Im Wege dessen seien Daten der BF auf der Website abrufbar gewesen, wobei es sich bei einigen Daten um Privatanschriften von Vereinsmitgliedern handle. Obwohl die BF12 in der Datenschutzerklärung der Y-Website als deren (datenschutzrechtlich) Verantwortliche präsentiert werde, gelte dies allein für die Website und nicht für die Datenverarbeitung. Der BF11 habe die inhaltliche Auswahl und Bewertung der Daten vorgenommen, die BF12 habe die Daten veröffentlicht und der MB habe die Daten für eigene Zwecke verwendet.
20. In ihrer an die Datenschutzbehörde (DSB, belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Beschwerde vom 10.06.2021 behaupteten die rechtsanwaltlich vertretenen Erst- bis Zehntbeschwerdeführer:innen (in Folge für alle gemeinsam: BF[1 bis 10]) eine Verletzung im Recht auf Information sowie im Recht auf Geheimhaltung durch den Elftbeschwerdeführer, die Zwölftbeschwerdeführerin (Erst- bzw. Zweitbeschwerdegegnerin vor der belangten Behörde, nunmehr Elftbeschwerdeführer und Zwölftbeschwerdeführerin vor dem Bundesverwaltungsgericht, in Folge: BF11 und BF12) sowie den römisch 40 (Drittbeschwerdegegner vor der belangten Behörde, Mitbeteiligter vor dem Bundesverwaltungsgericht, in Folge: MB). Darin wurde im Wesentlichen vorgebracht, dass die BF am 27.05.2021 Kenntnis von der Website römisch 40 (in Folge: Y-Website) erlangt hätten, wobei bei dieser eine römisch 40 eingebettet gewesen sei. Auf der Fläche des österreichischen Bundesgebietes hätten sich zahlreiche römisch 40 befunden, die jeweils römisch 40 Vereins oder einer römisch 40 in Österreich römisch 40 hätten. Durch Anklicken eines solchen römisch 40 aufgerufen worden. Die Startseite habe eine römisch 40 Vereine und römisch 40 in Österreich enthalten, eine Suchfunktion erlaube die gezielte Suche nach Einrichtungen anhand vielfältiger Suchkriterien. Durch weiteres Anklicken des Namens der Einrichtung sei man zu einer der jeweiligen Einrichtung römisch 40 gelangt. Im Wege dessen seien Daten der BF auf der Website abrufbar gewesen, wobei es sich bei einigen Daten um Privatanschriften von Vereinsmitgliedern handle. Obwohl die BF12 in der Datenschutzerklärung der Y-Website als deren (datenschutzrechtlich) Verantwortliche präsentiert werde, gelte dies allein für die Website und nicht für die Datenverarbeitung. Der BF11 habe die inhaltliche Auswahl und Bewertung der Daten vorgenommen, die BF12 habe die Daten veröffentlicht und der MB habe die Daten für eigene Zwecke verwendet. Bei der Sammlung von Namen, Anschriften und der ZVR-Zahl der BF1 bis 6, der Übermittlung an die MB und die Veröffentlichung auf der Y-Website handle es sich um eine Verarbeitung personenbezogener Daten. Überdies hätten die BF1 bis 6 ein besonderes Interesse an der Geheimhaltung ihrer Daten, da sie XXXX in der aktuellen gesellschaftlichen Situation in Österreich XXXX Anfeindungen ausgesetzt seien und daher eine reale Gefährdung in Form physischer Angriffe gegen ihre Einrichtungen bestehe. Die Anschriften der Einrichtungen der BF3 bis 6 würden keine Daten allgemeiner Verfügbarkeit darstellen. Weder die im Zentralen Vereinsregister (ZVR) eingetragenen vollen Namen der BF2 bis 6 noch die Anschriften der BF3 bis 6 seien im Rahmen des offiziellen Auftritts im Internet oder auf Social Media zu finden. Aufgrund der äußerst umständlichen Bedienung des ZVR, um die vollständigen Namen und Anschriften der BF3 bis 6 darin zu finden, seien diese Daten nicht für jedermann öffentlich zugänglich. Die Anschriften der BF1 und 2 seien zwar auf deren offiziellen Website zu finden, allerdings seien durch die Veröffentlichung und Verknüpfung der gesammelten Daten auf der Y-Website neue Daten generiert worden. Durch die wahllose Auflistung zahlreicher XXXX Einrichtungen mit der Präsentation als XXXX entstehe der Eindruck, dass alle auf der Y-Website präsentierten Einrichtungen Teil des XXXX seien. Es handle sich daher nicht bloß um die Reproduktion allgemein zugänglicher Daten, selbiges gelte für die ZVR-Zahlen der BF1 bis
21. Keinesfalls seien die Anschriften der aktuellen Wohnsitze der BF7 bis 10 allgemein verfügbar. Die Verarbeitung personenbezogener Daten der BF1bis 10 verstoße demnach gegen § 1 DSG. Bei der Sammlung von Namen, Anschriften und der ZVR-Zahl der BF1 bis 6, der Übermittlung an die MB und die Veröffentlichung auf der Y-Website handle es sich um eine Verarbeitung personenbezogener Daten. Überdies hätten die BF1 bis 6 ein besonderes Interesse an der Geheimhaltung ihrer Daten, da sie römisch 40 in der aktuellen gesellschaftlichen Situation in Österreich römisch 40 Anfeindungen ausgesetzt seien und daher eine reale Gefährdung in Form physischer Angriffe gegen ihre Einrichtungen bestehe. Die Anschriften der Einrichtungen der BF3 bis 6 würden keine Daten allgemeiner Verfügbarkeit darstellen. Weder die im Zentralen Vereinsregister (ZVR) eingetragenen vollen Namen der BF2 bis 6 noch die Anschriften der BF3 bis 6 seien im Rahmen des offiziellen Auftritts im Internet oder auf Social Media zu finden. Aufgrund der äußerst umständlichen Bedienung des ZVR, um die vollständigen Namen und Anschriften der BF3 bis 6 darin zu finden, seien diese Daten nicht für jedermann öffentlich zugänglich. Die Anschriften der BF1 und 2 seien zwar auf deren offiziellen Website zu finden, allerdings seien durch die Veröffentlichung und Verknüpfung der gesammelten Daten auf der Y-Website neue Daten generiert worden. Durch die wahllose Auflistung zahlreicher römisch 40 Einrichtungen mit der Präsentation als römisch 40 entstehe der Eindruck, dass alle auf der Y-Website präsentierten Einrichtungen Teil des römisch 40 seien. Es handle sich daher nicht bloß um die Reproduktion allgemein zugänglicher Daten, selbiges gelte für die ZVR-Zahlen der BF1 bis
22. Keinesfalls seien die Anschriften der aktuellen Wohnsitze der BF7 bis 10 allgemein verfügbar. Die Verarbeitung personenbezogener Daten der BF1bis 10 verstoße demnach gegen Paragraph eins, DSG. Während die Sammlung der Daten durch die BF11 und BF12 zu wissenschaftlichen Zwecken iSd Wissenschaftsfreiheit unter Umständen im Einzelfall gerechtfertigt sein könnte, so gelte dies mangels Forschungszwecks weder für die weitere Übermittlung noch für die Veröffentlichung der Daten. Vielmehr habe die Veröffentlichung dazu geführt, dass nach Bekanntwerden XXXX Warntafeln durch Mitglieder der XXXX -Bewegung in XXXX aufgestellt worden seien, mit denen auf den XXXX von in der Datenbank erfassten Einrichtungen hingewiesen worden sei. Dieser politische Zweck sei ein anderer als die wissenschaftliche Forschung und mit diesem auch nicht vereinbar. Selbst bei gegenteiliger Annahme wären die Übermittlung und Veröffentlichung unzulässig, weil der Grundsatz der Datenminimierung verletzt worden sei. Die Verarbeitung entspreche auch nicht den Vorgaben zur Verarbeitung personenbezogener Daten zu Forschungszwecken, für die Übermittlung und Veröffentlichung sei das FOG als Rechtsgrundlage auch ungeeignet. Auch die Vereinsfreiheit der BF1 bis 10 sei von der Verarbeitung betroffen. Für die Verarbeitung der Daten sei auch Art. 9 DSGVO einschlägig.Während die Sammlung der Daten durch die BF11 und BF12 zu wissenschaftlichen Zwecken iSd Wissenschaftsfreiheit unter Umständen im Einzelfall gerechtfertigt sein könnte, so gelte dies mangels Forschungszwecks weder für die weitere Übermittlung noch für die Veröffentlichung der Daten. Vielmehr habe die Veröffentlichung dazu geführt, dass nach Bekanntwerden römisch 40 Warntafeln durch Mitglieder der römisch 40 -Bewegung in römisch 40 aufgestellt worden seien, mit denen auf den römisch 40 von in der Datenbank erfassten Einrichtungen hingewiesen worden sei. Dieser politische Zweck sei ein anderer als die wissenschaftliche Forschung und mit diesem auch nicht vereinbar. Selbst bei gegenteiliger Annahme wären die Übermittlung und Veröffentlichung unzulässig, weil der Grundsatz der Datenminimierung verletzt worden sei. Die Verarbeitung entspreche auch nicht den Vorgaben zur Verarbeitung personenbezogener Daten zu Forschungszwecken, für die Übermittlung und Veröffentlichung sei das FOG als Rechtsgrundlage auch ungeeignet. Auch die Vereinsfreiheit der BF1 bis 10 sei von der Verarbeitung betroffen. Für die Verarbeitung der Daten sei auch Artikel 9, DSGVO einschlägig. Die BF11 und 12 sowie der MB unterlägen im Übrigen der Informationspflicht gemäß Art. 13 und 14 DSGVO. Obwohl die Y-Website bereits viel länger abrufbar sei, sei die darauf befindliche Datenschutzerklärung jedoch erst seit XXXX 2021 veröffentlicht worden, was ebenso einen Verstoß darstelle. Ebenfalls hätten sich die BF1 bis 10 mit Auskunfts- und Löschungsanträgen an das XXXX und den Datenschutzbeauftragten der BF12 gewandt, welche jedoch unbeantwortet geblieben seien.Die BF11 und 12 sowie der MB unterlägen im Übrigen der Informationspflicht gemäß Artikel 13 und 14 DSGVO. Obwohl die Y-Website bereits viel länger abrufbar sei, sei die darauf befindliche Datenschutzerklärung jedoch erst seit römisch 40 2021 veröffentlicht worden, was ebenso einen Verstoß darstelle. Ebenfalls hätten sich die BF1 bis 10 mit Auskunfts- und Löschungsanträgen an das römisch 40 und den Datenschutzbeauftragten der BF12 gewandt, welche jedoch unbeantwortet geblieben seien. Zudem sei ein entsprechender Antrag auf Erlassung eines Mandatsbescheides gestellt worden.
23. In ihrer Eingabe vom 15.06.2021 wiederholten die BF1 bis 10 ihren Antrag auf Erlassung eines Mandatsbescheides und legten Screenshots der Y-Website sowie zum Thema der XXXX (in Folge: Y-Projekt) ergangene Medienberichterstattung vor.
24. In ihrer Eingabe vom 15.06.2021 wiederholten die BF1 bis 10 ihren Antrag auf Erlassung eines Mandatsbescheides und legten Screenshots der Y-Website sowie zum Thema der römisch 40 (in Folge: Y-Projekt) ergangene Medienberichterstattung vor.
25. Mit Bescheid vom 16.06.2021 wies die belangte Behörde den Antrag der BF1 bis 10 auf Erlassung eines Mandatsbescheides ab.
26. Über Aufforderung der belangten Behörde erstatteten die BF11 und BF12 im Wege ihrer Rechtsvertretung am 28.07.2021 eine gemeinsame Stellungnahme, in welcher sie zusammengefasst vorbrachten, dass der BF11 Universitätsprofessor für XXXX am Institut für XXXX Studien der BF12 sei, welche ihrerseits eine Universität iSd Universitätsgesetzes und eine wissenschaftliche Einrichtung iSd Forschungsorganisationsgesetzes sei. Der MB sei ein Fonds iSd Stiftungs- und Fondsgesetzes 2015, sein Zweck sei die Förderung der wissenschaftlichen Erforschung des XXXX .
27. Über Aufforderung der belangten Behörde erstatteten die BF11 und BF12 im Wege ihrer Rechtsvertretung am 28.07.2021 eine gemeinsame Stellungnahme, in welcher sie zusammengefasst vorbrachten, dass der BF11 Universitätsprofessor für römisch 40 am Institut für römisch 40 Studien der BF12 sei, welche ihrerseits eine Universität iSd Universitätsgesetzes und eine wissenschaftliche Einrichtung iSd Forschungsorganisationsgesetzes sei. Der MB sei ein Fonds iSd Stiftungs- und Fondsgesetzes 2015, sein Zweck sei die Förderung der wissenschaftlichen Erforschung des römisch 40 . Zwischen der BF12 und dem MB sei am 05.03.2021 ein Fördervertrag (in Folge F&E-Vertrag) abgeschlossen worden, welcher zum Gegenstand habe, das Forschungsprojekt XXXX durchzuführen, um einen fundierten Überblick über alle in Österreich tätigen XXXX zu bieten, in welchem auch die jeweilige XXXX der einzelnen Vereine, ihrer Dachverbände, XXXX und Fachvereine online abzurufen seien. Diese XXXX sollten generelle Informationen XXXX der jeweiligen Institutionen und auch Hinweise zu deren XXXX Hintergrund, zu Fragen betreffend die XXXX der jeweiligen XXXX und zu deren Einstellung XXXX zur Verfügung stellen.Zwischen der BF12 und dem MB sei am 05.03.2021 ein Fördervertrag (in Folge F&E-Vertrag) abgeschlossen worden, welcher zum Gegenstand habe, das Forschungsprojekt römisch 40 durchzuführen, um einen fundierten Überblick über alle in Österreich tätigen römisch 40 zu bieten, in welchem auch die jeweilige römisch 40 der einzelnen Vereine, ihrer Dachverbände, römisch 40 und Fachvereine online abzurufen seien. Diese römisch 40 sollten generelle Informationen römisch 40 der jeweiligen Institutionen und auch Hinweise zu deren römisch 40 Hintergrund, zu Fragen betreffend die römisch 40 der jeweiligen römisch 40 und zu deren Einstellung römisch 40 zur Verfügung stellen. Die Verteilung der Aufgaben der Vertragspartner sei dabei solcherart definiert, dass der MB die Zurverfügungstellung von inhaltlichen Informationen, gesammelten XXXX und Datensätzen sowie die Prüfung und Aktualisierung von Daten in der Datenbank in Bezug auf XXXX übernehme sowie seit XXXX 2021 Fördergeber des Y-Projekts sei. Die BF12 übernehme die Überarbeitung der vorhandenen Daten zum Y-Projekt, die Beschreibung der XXXX Beziehungen und aktuellen XXXX , sowie die Erweiterung und Aktualisierung um Informationen in den sozialen Medien. Faktisch werde das Projekt vom BF11 geleitet und sei der MB nur als Fördergeber beteiligt. Das Forschungsprojekt bzw. dessen Ergebnisse würden über die Y-Website verarbeitet und veröffentlicht werden. Die Y-Website werde von der BF12 und dem BF11 betrieben und weise eine Datenschutzerklärung auf, welche über die Datenverarbeitung informiere. Sämtliche der verarbeiteten Daten seien jedoch öffentlich verfügbar und entstammten entweder dem ZVR oder der Internetpräsenz der entsprechenden Vereine. Eine Übermittlung außerhalb der Veröffentlichung der Y-Website an den MB finde nicht statt. Weiters sei unrichtig, dass eine Auflistung zahlreicher XXXX Einrichtungen mit der XXXX als XXXX veröffentlicht würde. Vielmehr handle es sich um sachliche und faktenbasierte Informationen zu den einzelnen Vereinen. Die datenschutzrechtliche Verantwortung liege ausschließlich bei der BF12, eine gemeinsame Verantwortlichkeit liege hingegen nicht vor. Die Zwecke der Datenverarbeitung im Zusammenhang mit Y-Projekt würden von der BF12 bzw. dem BF11 festgelegt, dieser sei jedoch als Universitätsprofessor – welcher im Rahmen seiner Professur an der BF12 forsche – der BF12 zuzurechnen. Der MB fördere zwar mit seinen Mitteln die festgelegten Forschungszwecke, nehme jedoch auf die damit in Zusammenhang stehenden Datenverarbeitungen keinerlei Einfluss.Die Verteilung der Aufgaben der Vertragspartner sei dabei solcherart definiert, dass der MB die Zurverfügungstellung von inhaltlichen Informationen, gesammelten römisch 40 und Datensätzen sowie die Prüfung und Aktualisierung von Daten in der Datenbank in Bezug auf römisch 40 übernehme sowie seit römisch 40 2021 Fördergeber des Y-Projekts sei. Die BF12 übernehme die Überarbeitung der vorhandenen Daten zum Y-Projekt, die Beschreibung der römisch 40 Beziehungen und aktuellen römisch 40 , sowie die Erweiterung und Aktualisierung um Informationen in den sozialen Medien. Faktisch werde das Projekt vom BF11 geleitet und sei der MB nur als Fördergeber beteiligt. Das Forschungsprojekt bzw. dessen Ergebnisse würden über die Y-Website verarbeitet und veröffentlicht werden. Die Y-Website werde von der BF12 und dem BF11 betrieben und weise eine Datenschutzerklärung auf, welche über die Datenverarbeitung informiere. Sämtliche der verarbeiteten Daten seien jedoch öffentlich verfügbar und entstammten entweder dem ZVR oder der Internetpräsenz der entsprechenden Vereine. Eine Übermittlung außerhalb der Veröffentlichung der Y-Website an den MB finde nicht statt. Weiters sei unrichtig, dass eine Auflistung zahlreicher römisch 40 Einrichtungen mit der römisch 40 als römisch 40 veröffentlicht würde. Vielmehr handle es sich um sachliche und faktenbasierte Informationen zu den einzelnen Vereinen. Die datenschutzrechtliche Verantwortung liege ausschließlich bei der BF12, eine gemeinsame Verantwortlichkeit liege hingegen nicht vor. Die Zwecke der Datenverarbeitung im Zusammenhang mit Y-Projekt würden von der BF12 bzw. dem BF11 festgelegt, dieser sei jedoch als Universitätsprofessor – welcher im Rahmen seiner Professur an der BF12 forsche – der BF12 zuzurechnen. Der MB fördere zwar mit seinen Mitteln die festgelegten Forschungszwecke, nehme jedoch auf die damit in Zusammenhang stehenden Datenverarbeitungen keinerlei Einfluss. Sämtliche der verarbeiteten und veröffentlichten Daten seien bereits zuvor im ZVR oder dem Internetauftritt des entsprechenden Vereins öffentlich verfügbar gewesen. Die Behauptung seitens der BF3 bis 6, wonach ihre Namen und Anschriften keine Daten allgemeiner Verfügbarkeit darstellen würden, sei unrichtig, da diese Daten im ZVR hinterlegt und ersichtlich seien und wohl von diesen in diesem Zusammenhang selbst veröffentlicht worden seien. Die umständliche Bedienung des ZVR ändere nichts an der öffentlichen Verfügbarkeit. § 1 DSG schütze die Geheimhaltung von personenbezogenen Daten nur insoweit, als daran ein schutzwürdiges Interesse bestehe. Das Bestehen eines solchen Interesses sei jedenfalls ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit einem Geheimhaltungsanspruch – wie im vorliegenden Fall – nicht zugänglich seien, zumal die Daten der BF1 bis 10 auch keiner Auskunftssperre iSd VerG unterlägen. Falls aber doch Daten verarbeitet würden, die nicht als öffentlich zugänglich zu qualifizieren seien, so sei die Zulässigkeit der Datenverarbeitung im Rahmen einer Interessensabwägung zu prüfen (§ 1 Abs. 2 DSG). Das Interesse der BF12 liege insbesondere in der Durchführung und Publikation des Forschungsprojekts sowie der damit im Zusammenhang stehenden Leistung eines Beitrags zur öffentlichen Debatte und Meinungsbildung bzw. das Interesse der Allgemeinheit an der Erlangung von sachlich fundierten und wissenschaftlichen Informationen zu einem im gesellschaftlichen und medialen Diskurs stehenden Thema. Die Veröffentlichung dieser sachlichen und fundierten Recherche- und Forschungsergebnisse bezwecke überdies, den gesellschaftlichen Diskurs auf ein faktenbasiertes Niveau zu heben und zahlreichen Falschinformationen entgegenzuwirken. Diese Interessen seien legitim und verfassungsrechtlich im Rahmen der Meinungsfreiheit und Wissenschaftsfreiheit abgesichert sowie zudem vom Unions- sowie vom österreichischen Gesetzgeber anerkannt. Ein Vorrang anderer tangierter Grundrechte wie etwa des Rechts auf Geheimhaltung gegenüber der gleichrangigen Wissenschafts- und Meinungsfreiheit bestehe dabei nicht, vielmehr sei eine Güterabwägung im Einzelfall vorzuzunehmen. Das Y-Projekt werde mit wissenschaftlicher Sorgfalt und wissenschaftlich anerkannten Methoden der Organisationsforschung erstellt und beruhe insbesondere auf einer XXXX und Diskursanalyse sowie zahlreichen, online und in gedruckter Form verfügbaren Veröffentlichungen sowie Webseiten in verschiedenen Sprachen, welche eine robuste Grundlage zur Beantwortung der definierten Forschungsfragen darstellen würden. Die wissenschaftliche Bedeutung des Y-Projekts sei aber einer rechtlich kontrollierenden Wertung entzogen.Sämtliche der verarbeiteten und veröffentlichten Daten seien bereits zuvor im ZVR oder dem Internetauftritt des entsprechenden Vereins öffentlich verfügbar gewesen. Die Behauptung seitens der BF3 bis 6, wonach ihre Namen und Anschriften keine Daten allgemeiner Verfügbarkeit darstellen würden, sei unrichtig, da diese Daten im ZVR hinterlegt und ersichtlich seien und wohl von diesen in diesem Zusammenhang selbst veröffentlicht worden seien. Die umständliche Bedienung des ZVR ändere nichts an der öffentlichen Verfügbarkeit. Paragraph eins, DSG schütze die Geheimhaltung von personenbezogenen Daten nur insoweit, als daran ein schutzwürdiges Interesse bestehe. Das Bestehen eines solchen Interesses sei jedenfalls ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit einem Geheimhaltungsanspruch – wie im vorliegenden Fall – nicht zugänglich seien, zumal die Daten der BF1 bis 10 auch keiner Auskunftssperre iSd VerG unterlägen. Falls aber doch Daten verarbeitet würden, die nicht als öffentlich zugänglich zu qualifizieren seien, so sei die Zulässigkeit der Datenverarbeitung im Rahmen einer Interessensabwägung zu prüfen (Paragraph eins, Absatz 2, DSG). Das Interesse der BF12 liege insbesondere in der Durchführung und Publikation des Forschungsprojekts sowie der damit im Zusammenhang stehenden Leistung eines Beitrags zur öffentlichen Debatte und Meinungsbildung bzw. das Interesse der Allgemeinheit an der Erlangung von sachlich fundierten und wissenschaftlichen Informationen zu einem im gesellschaftlichen und medialen Diskurs stehenden Thema. Die Veröffentlichung dieser sachlichen und fundierten Recherche- und Forschungsergebnisse bezwecke überdies, den gesellschaftlichen Diskurs auf ein faktenbasiertes Niveau zu heben und zahlreichen Falschinformationen entgegenzuwirken. Diese Interessen seien legitim und verfassungsrechtlich im Rahmen der Meinungsfreiheit und Wissenschaftsfreiheit abgesichert sowie zudem vom Unions- sowie vom österreichischen Gesetzgeber anerkannt. Ein Vorrang anderer tangierter Grundrechte wie etwa des Rechts auf Geheimhaltung gegenüber der gleichrangigen Wissenschafts- und Meinungsfreiheit bestehe dabei nicht, vielmehr sei eine Güterabwägung im Einzelfall vorzuzunehmen. Das Y-Projekt werde mit wissenschaftlicher Sorgfalt und wissenschaftlich anerkannten Methoden der Organisationsforschung erstellt und beruhe insbesondere auf einer römisch 40 und Diskursanalyse sowie zahlreichen, online und in gedruckter Form verfügbaren Veröffentlichungen sowie Webseiten in verschiedenen Sprachen, welche eine robuste Grundlage zur Beantwortung der definierten Forschungsfragen darstellen würden. Die wissenschaftliche Bedeutung des Y-Projekts sei aber einer rechtlich kontrollierenden Wertung entzogen. Per se seien keine Daten von natürlichen Personen verarbeitet worden. Festzuhalten sei, dass es vorrangig die öffentlich einsehbaren Daten der Vereine seien, welche im Rahmen des betreffenden Forschungsprojekts untersucht würden, die grundsätzliche Anwendbarkeit der DSGVO werde aber nicht in Abrede gestellt. In Entsprechung des Art. 5 Abs. 1 lit. a DSGVO sei vor allem Art. 9 Abs. 2 XXXX DSGVO und – der in Umsetzung der Ermächtigungsklausel nach Art. 9 Abs. 2 lit. j DSGVO erlassene - § 7 DSG sowie das FOG als Rechtsgrundlage maßgeblich, da sich die XXXX Zugehörigkeit der Betroffenen aus dem Y-Projekt ergebe. Art. 85 DSGVO ermächtige zudem die Mitgliedstaaten, durch geeignete Rechtsvorschriften das Recht auf Schutz von personenbezogenen Daten nach der DSGVO mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu wissenschaftlichen Zwecken in Einklang zu bringen und insoweit umfassende Abweichungen und Ausnahmen von der DSGVO einschließlich ihres Kapitels II vorzusehen. Folglich finde nach § 9 Abs. 2 DSG Kapitel II der DSGVO auf Verarbeitungen keine Anwendungen, die zu wissenschaftlichen Zwecken erfolgen, soweit dies erforderlich sei, um das Datenschutzrecht mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen. Das Y-Projekt verfolge rein wissenschaftliche Ziele, die damit einhergehenden Datenverarbeitungen lägen daher im Anwendungsbereich von § 9 Abs. 2 DSG. Zudem sei das Y-Projekt als journalistische Tätigkeit iSd § 9 Abs. 1 DSG zu qualifizieren, da laut EuGH Tätigkeiten bereits dann journalistisch seien, wenn sie die Verbreitung von Informationen, Meinungen oder Ideen in der Öffentlichkeit bezwecken. Das Y-Projekt ziele in diesem Zusammenhang darauf ab, einen Beitrag zu einer Debatte von allgemeinem Interesse zu leisten. In Ansehung der Rechtsprechung des EuGH und des EGMR überwögen im konkreten Fall die (näher dargelegten) diesbezüglichen Interessen des BF12 die Interessen der BF1 bis
28. Das Grundrecht der Vereinsfreiheit entfalte keine Drittwirkung und sei daher einer Verletzung durch die BF11 bis 12 sowie den MB nicht zugänglich. Zudem bezöge sich der von den BF1 bis 10 angeführte § 17 Abs. 9 VerG nicht auf das hier gegenständliche ZVR, sondern auf das Lokale Vereinsregister. Bezüglich der behaupteten Verletzung im Recht auf Information seien die datenschutzrechtlich relevanten Informationen mit Veröffentlichung der Datenschutzerklärung gegenüber den BF1 bis 10 erteilt worden und würden laufend aktualisiert. Dass diese davon Kenntnis erlangt hätten, ergebe sich bereits aus deren Vorlage der Datenschutzerklärung. Per se seien keine Daten von natürlichen Personen verarbeitet worden. Festzuhalten sei, dass es vorrangig die öffentlich einsehbaren Daten der Vereine seien, welche im Rahmen des betreffenden Forschungsprojekts untersucht würden, die grundsätzliche Anwendbarkeit der DSGVO werde aber nicht in Abrede gestellt. In Entsprechung des Artikel 5, Absatz eins, Litera a, DSGVO sei vor allem Artikel 9, Absatz 2, römisch 40 DSGVO und – der in Umsetzung der Ermächtigungsklausel nach Artikel 9, Absatz 2, Litera j, DSGVO erlassene - Paragraph 7, DSG sowie das FOG als Rechtsgrundlage maßgeblich, da sich die römisch 40 Zugehörigkeit der Betroffenen aus dem Y-Projekt ergebe. Artikel 85, DSGVO ermächtige zudem die Mitgliedstaaten, durch geeignete Rechtsvorschriften das Recht auf Schutz von personenbezogenen Daten nach der DSGVO mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu wissenschaftlichen Zwecken in Einklang zu bringen und insoweit umfassende Abweichungen und Ausnahmen von der DSGVO einschließlich ihres Kapitels römisch zwei vorzusehen. Folglich finde nach Paragraph 9, Absatz 2, DSG Kapitel römisch zwei der DSGVO auf Verarbeitungen keine Anwendungen, die zu wissenschaftlichen Zwecken erfolgen, soweit dies erforderlich sei, um das Datenschutzrecht mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen. Das Y-Projekt verfolge rein wissenschaftliche Ziele, die damit einhergehenden Datenverarbeitungen lägen daher im Anwendungsbereich von Paragraph 9, Absatz 2, DSG. Zudem sei das Y-Projekt als journalistische Tätigkeit iSd Paragraph 9, Absatz eins, DSG zu qualifizieren, da laut EuGH Tätigkeiten bereits dann journalistisch seien, wenn sie die Verbreitung von Informationen, Meinungen oder Ideen in der Öffentlichkeit bezwecken. Das Y-Projekt ziele in diesem Zusammenhang darauf ab, einen Beitrag zu einer Debatte von allgemeinem Interesse zu leisten. In Ansehung der Rechtsprechung des EuGH und des EGMR überwögen im konkreten Fall die (näher dargelegten) diesbezüglichen Interessen des BF12 die Interessen der BF1 bis
29. Das Grundrecht der Vereinsfreiheit entfalte keine Drittwirkung und sei daher einer Verletzung durch die BF11 bis 12 sowie den MB nicht zugänglich. Zudem bezöge sich der von den BF1 bis 10 angeführte Paragraph 17, Absatz 9, VerG nicht auf das hier gegenständliche ZVR, sondern auf das Lokale Vereinsregister. Bezüglich der behaupteten Verletzung im Recht auf Information seien die datenschutzrechtlich relevanten Informationen mit Veröffentlichung der Datenschutzerklärung gegenüber den BF1 bis 10 erteilt worden und würden laufend aktualisiert. Dass diese davon Kenntnis erlangt hätten, ergebe sich bereits aus deren Vorlage der Datenschutzerklärung.
30. Der ebenfalls rechtsanwaltlich vertretene MB brachte im Rahmen seiner Stellungnahme vom 28.07.2021 im Wesentlichen vor, dass soweit sich die Beschwerde gegen den MB richte, sie insoweit bereits verfehlt sei, als der MB im Rahmen des Y-Projekts keine personenbezogenen Daten verarbeitet habe und ihm für die in diesem Zusammenhang erfolgenden Verarbeitungstätigkeiten keine Verantwortlichenstellung zukomme, weswegen dieser von daher schon nicht gegen das Datenschutzrecht habe verstoßen können. Der MB fördere das Projekt aktuell auf Basis des F&E-Vertrages im Wege der Drittmittelfinanzierung, wobei der MB keinen Einfluss auf die Forschungsarbeit nehme, insbesondere die Methodik, den Forschungsgegenstand und die konkret verfolgten Forschungsfragen. Der MB entscheide auch nicht über die Mittel der konkreten Verarbeitung sowie die Art der Veröffentlichung in Form eines XXXX und mit Informationen angereicherten Y-Projekts. Dies zeige sich bereits daran, dass es sich bei dem Y-Projekt um kein auf Initiative der MB neu aufgesetztes Forschungsprojekt handle, sondern diese von der BF12 bereits seit 20 XXXX kontinuierlich betrieben und weiterentwickelt worden sei. Der MB bestimme daher auch nicht die Zwecke und Mittel der mit der Forschungstätigkeit einhergehenden Datenverarbeitungen, zumal sämtliche zusammenhängenden Entscheidungen bereits lange vor Beginn der Förderung durch den MB getroffen worden seien. Daher betreibe der BF11 die universitäre Forschung und sei in diesem Zusammenhang der BF12 zuzurechnen.
31. Der ebenfalls rechtsanwaltlich vertretene MB brachte im Rahmen seiner Stellungnahme vom 28.07.2021 im Wesentlichen vor, dass soweit sich die Beschwerde gegen den MB richte, sie insoweit bereits verfehlt sei, als der MB im Rahmen des Y-Projekts keine personenbezogenen Daten verarbeitet habe und ihm für die in diesem Zusammenhang erfolgenden Verarbeitungstätigkeiten keine Verantwortlichenstellung zukomme, weswegen dieser von daher schon nicht gegen das Datenschutzrecht habe verstoßen können. Der MB fördere das Projekt aktuell auf Basis des F&E-Vertrages im Wege der Drittmittelfinanzierung, wobei der MB keinen Einfluss auf die Forschungsarbeit nehme, insbesondere die Methodik, den Forschungsgegenstand und die konkret verfolgten Forschungsfragen. Der MB entscheide auch nicht über die Mittel der konkreten Verarbeitung sowie die Art der Veröffentlichung in Form eines römisch 40 und mit Informationen angereicherten Y-Projekts. Dies zeige sich bereits daran, dass es sich bei dem Y-Projekt um kein auf Initiative der MB neu aufgesetztes Forschungsprojekt handle, sondern diese von der BF12 bereits seit 20 römisch 40 kontinuierlich betrieben und weiterentwickelt worden sei. Der MB bestimme daher auch nicht die Zwecke und Mittel der mit der Forschungstätigkeit einhergehenden Datenverarbeitungen, zumal sämtliche zusammenhängenden Entscheidungen bereits lange vor Beginn der Förderung durch den MB getroffen worden seien. Daher betreibe der BF11 die universitäre Forschung und sei in diesem Zusammenhang der BF12 zuzurechnen. Würde man § 1 Abs. 1 DSG im gegenständlichen Fall so verstehen, dass die BF1 bis 10 tatsächlich in ihrem Geheimhaltungsrecht verletzt wären, wären Forschungsvorhaben wie das hier gegenständliche nicht mehr realisierbar. Ebensowenig könnten dann wissenschaftlich/zivilgesellschaftlich bzw. auch politisch höchst bedeutsame Projekte auf dem Gebiet der zeitgeschichtlichen und politikwissenschaftlichen Forschung, erstellt bzw. veröffentlicht werden. Im Übrigen bezog sich die MB hierzu im Wesentlichen auf jene Ausführungen, wie sie der BF11 und die BF12 tätigten.Würde man Paragraph eins, Absatz eins, DSG im gegenständlichen Fall so verstehen, dass die BF1 bis 10 tatsächlich in ihrem Geheimhaltungsrecht verletzt wären, wären Forschungsvorhaben wie das hier gegenständliche nicht mehr realisierbar. Ebensowenig könnten dann wissenschaftlich/zivilgesellschaftlich bzw. auch politisch höchst bedeutsame Projekte auf dem Gebiet der zeitgeschichtlichen und politikwissenschaftlichen Forschung, erstellt bzw. veröffentlicht werden. Im Übrigen bezog sich die MB hierzu im Wesentlichen auf jene Ausführungen, wie sie der BF11 und die BF12 tätigten.
32. Nach Einräumung eines Parteiengehörs zu den Ergebnissen des Ermittlungsverfahrens durch die belangte Behörde brachten die BF1 bis 10 in einer hierauf ergangenen Stellungnahme vom 21.09.2021 bzw. 22.09.2021 zusammengefasst vor, dass der Behauptung der BF11 bis 12, die Daten der BF1 bis 10 würden nicht als XXXX präsentiert, vielmehr handle es sich um sachliche und faktenbasierte Informationen, zu entgegnen sei, dass die Veröffentlichung der Daten auf der Y-Website nicht isoliert zu betrachten sei, sondern im Kontext XXXX . Zum Zeitpunkt der XXXX der Y-Website habe diese auch keine Datenschutzerklärung enthalten, sondern sei der Zweck der Y-Website bloß wie folgt beschrieben gewesen: XXXX Ein angeblicher Forschungszweck sei nicht genannt worden. Auch die Präsentation des Y-Projekts durch XXXX und den BF11, die sich beide wiederholt zum XXXX geäußert XXXX hätten, habe dazu beigetragen, dass sämtlichen im Y-Projekt angeführten Organisationen der Ruf anhafte, es handle sich um XXXX Vereinigungen. Obwohl die BF11 die datenschutzrechtliche Verantwortlichkeit allein für sich beanspruche, liege sie unzweifelhaft für alle drei bezeichneten Beschwerdegegner vor. Der BF11 möge im Rahmen einer Professur für die BF12 tätig sein, allerdings werde das Y-Projekt seit seiner ersten Erstellung in seinem Namen geführt und er sei durchgehend als dessen Verfasser aufgetreten. Ein allfälliges arbeits- oder verwaltungsrechtliches Verhältnis sei für die gemeinsame Verantwortlichkeit irrelevant. Darüber hinaus unterliege der BF11 im Rahmen seiner Forschungstätigkeit keiner Weisungsgebundenheit durch die BF
33. Sofern der BF11 Forschung im Auftrag und auf Kosten des MB betreibe, wäre eine inhaltliche Einflussnahme der BF12 wegen des Grundrechts auf Forschungsfreiheit gar nicht zulässig. Auch würden Entscheidungen über Zwecke und Mittel der Verarbeitung personenbezogener Daten im Rahmen eines Forschungsvorhabens typischerweise inhaltliche Forschungsfragen darstellen. Daher müsse der BF11 als datenschutzrechtlich verantwortlich angesehen werden.
34. Nach Einräumung eines Parteiengehörs zu den Ergebnissen des Ermittlungsverfahrens durch die belangte Behörde brachten die BF1 bis 10 in einer hierauf ergangenen Stellungnahme vom 21.09.2021 bzw. 22.09.2021 zusammengefasst vor, dass der Behauptung der BF11 bis 12, die Daten der BF1 bis 10 würden nicht als römisch 40 präsentiert, vielmehr handle es sich um sachliche und faktenbasierte Informationen, zu entgegnen sei, dass die Veröffentlichung der Daten auf der Y-Website nicht isoliert zu betrachten sei, sondern im Kontext römisch 40 . Zum Zeitpunkt der römisch 40 der Y-Website habe diese auch keine Datenschutzerklärung enthalten, sondern sei der Zweck der Y-Website bloß wie folgt beschrieben gewesen: römisch 40 Ein angeblicher Forschungszweck sei nicht genannt worden. Auch die Präsentation des Y-Projekts durch römisch 40 und den BF11, die sich beide wiederholt zum römisch 40 geäußert römisch 40 hätten, habe dazu beigetragen, dass sämtlichen im Y-Projekt angeführten Organisationen der Ruf anhafte, es handle sich um römisch 40 Vereinigungen. Obwohl die BF11 die datenschutzrechtliche Verantwortlichkeit allein für sich beanspruche, liege sie unzweifelhaft für alle drei bezeichneten Beschwerdegegner vor. Der BF11 möge im Rahmen einer Professur für die BF12 tätig sein, allerdings werde das Y-Projekt seit seiner ersten Erstellung in seinem Namen geführt und er sei durchgehend als dessen Verfasser aufgetreten. Ein allfälliges arbeits- oder verwaltungsrechtliches Verhältnis sei für die gemeinsame Verantwortlichkeit irrelevant. Darüber hinaus unterliege der BF11 im Rahmen seiner Forschungstätigkeit keiner Weisungsgebundenheit durch die BF
35. Sofern der BF11 Forschung im Auftrag und auf Kosten des MB betreibe, wäre eine inhaltliche Einflussnahme der BF12 wegen des Grundrechts auf Forschungsfreiheit gar nicht zulässig. Auch würden Entscheidungen über Zwecke und Mittel der Verarbeitung personenbezogener Daten im Rahmen eines Forschungsvorhabens typischerweise inhaltliche Forschungsfragen darstellen. Daher müsse der BF11 als datenschutzrechtlich verantwortlich angesehen werden. Ebenso sei der MB für die Datenverarbeitung verantwortlich, da die von ihr übernommene Zurverfügungstellung von Daten sowie die Sammlung und Organisation dieser in Datenbanken eine Verarbeitung personenbezogener Daten darstellen würden. Offensichtlich sei sohin der MB ganz wesentlich in das Y-Projekt involviert. Weiters habe der BF1 ein Begehren auf Auskunft nach Art 15 DSGVO an den MB gerichtet, auf welches dieser mit Schreiben geantwortet habe. Darin sei angeführt gewesen, dass der MB Daten der BF1 zu Zwecken der Erstellung wissenschaftlicher Studien und Analysen sowie zur XXXX verarbeite und die Daten im Fall von Publikation an die Öffentlichkeit übermittle. Nach eigenen Angaben hätten die BF12 und der MB den F&E-Vertrag zum betreffenden Projekt miteinander abgeschlossen (dessen Vorlage angeregt wurde). Aus derartigen Verträgen zögen beide Seiten Vorteile. Die Weitergabe der Forschungsergebnisse gehöre dabei zum üblichen Vorgehen. Gegenständlich handle es sich wohl kaum um eine Finanzierung aus altruistischen Motiven und sei im Hinblick auf das unzweifelhafte Vorliegen eines gemeinsamen Forschungsziels davon auszugehen, dass auch ein Austausch von Forschungsergebnissen stattfinde. Weiters habe der BF1 ein Begehren auf Auskunft nach Artikel 15, DSGVO an den MB gerichtet, auf welches dieser mit Schreiben geantwortet habe. Darin sei angeführt gewesen, dass der MB Daten der BF1 zu Zwecken der Erstellung wissenschaftlicher Studien und Analysen sowie zur römisch 40 verarbeite und die Daten im Fall von Publikation an die Öffentlichkeit übermittle. Nach eigenen Angaben hätten die BF12 und der MB den F&E-Vertrag zum betreffenden Projekt miteinander abgeschlossen (dessen Vorlage angeregt wurde). Aus derartigen Verträgen zögen beide Seiten Vorteile. Die Weitergabe der Forschungsergebnisse gehöre dabei zum üblichen Vorgehen. Gegenständlich handle es sich wohl kaum um eine Finanzierung aus altruistischen Motiven und sei im Hinblick auf das unzweifelhafte Vorliegen eines gemeinsamen Forschungsziels davon auszugehen, dass auch ein Austausch von Forschungsergebnissen stattfinde. § 1 DSG schütze als verfassungsgesetzlich gewährleistetes Recht sowohl natürliche als auch juristische Personen. Juristischen Personen kämen sohin jedenfalls die in § 1 DSG normierten Rechte zu, nicht aber jene Rechte, die nur in der DSGVO, aber nicht in § 1 DSG Deckung fänden. Nur bei bloßer Reproduktion von „allgemein zugänglichen Daten“ ohne Generierung neuer Information könne eine mangelnde Schutzwürdigkeit iSd § 1 Abs. 1 DSG angenommen werden. Da im vorliegenden Fall aber gerade durch die Verknüpfung von Daten neue Daten entstanden seien, liege ein schutzwürdiges Geheimhaltungsinteresse vor.Paragraph eins, DSG schütze als verfassungsgesetzlich gewährleistetes Recht sowohl natürliche als auch juristische Personen. Juristischen Personen kämen sohin jedenfalls die in Paragraph eins, DSG normierten Rechte zu, nicht aber jene Rechte, die nur in der DSGVO, aber nicht in Paragraph eins, DSG Deckung fänden. Nur bei bloßer Reproduktion von „allgemein zugänglichen Daten“ ohne Generierung neuer Information könne eine mangelnde Schutzwürdigkeit iSd Paragraph eins, Absatz eins, DSG angenommen werden. Da im vorliegenden Fall aber gerade durch die Verknüpfung von Daten neue Daten entstanden seien, liege ein schutzwürdiges Geheimhaltungsinteresse vor. Was die Frage der Zulässigkeit der Datenverwendung durch die BF11 bis 12 und dem MB anbelangt, würden deren Stellungnahmen nicht ausführen, worauf sich die Verwendung der personenbezogenen Daten der BF1 bis 10 eigentlich stütze. Auch unter der Annahme, dass die Verarbeitung personenbezogener Daten zu wissenschaftlichen Forschungszwecken privilegiert sei, so würden doch weiterhin die Grundsätze der Datenminimierung (Art 5 Abs. 1 lit c DSGVO) sowie der Verhältnismäßigkeit (§ 1 Abs. 2 letzter Satz DSG; § 9 Abs. 2 DSG) gelten. § 7 Abs. 1 Z 1 DSG sei nicht einschlägig, weil nicht nur allgemein verfügbare Daten verwendet würden, sondern auch XXXX (Verweis auf die Stellungnahme des MB). Auch die Voraussetzungen des § 7 Abs. 2 und 3 DSG seien nicht gegeben. § 2d Abs. 2 FOG verweise auf Art 9 Abs. 2 lit g, i und j DSGVO, die wiederum das Gebot der Verhältnismäßigkeit statuierten. Laut § 2d Abs. 2 Z 1 FOG solle die Verarbeitung personenbezogener Daten grundsätzlich nur in pseudonymisierter Form erfolgen oder – im Fall von Veröffentlichungen – nur in anonymisierter/pseudonymisierter Form. Die Veröffentlichung der Adressdaten sowie der ZVR-Nummern entspreche weder dem Grundsatz der Datenminimierung noch dem Grundsatz der Verhältnismäßigkeit.Was die Frage der Zulässigkeit der Datenverwendung durch die BF11 bis 12 und dem MB anbelangt, würden deren Stellungnahmen nicht ausführen, worauf sich die Verwendung der personenbezogenen Daten der BF1 bis 10 eigentlich stütze. Auch unter der Annahme, dass die Verarbeitung personenbezogener Daten zu wissenschaftlichen Forschungszwecken privilegiert sei, so würden doch weiterhin die Grundsätze der Datenminimierung (Artikel 5, Absatz eins, Litera c, DSGVO) sowie der Verhältnismäßigkeit (Paragraph eins, Absatz 2, letzter Satz DSG; Paragraph 9, Absatz 2, DSG) gelten. Paragraph 7, Absatz eins, Ziffer eins, DSG sei nicht einschlägig, weil nicht nur allgemein verfügbare Daten verwendet würden, sondern auch römisch 40 (Verweis auf die Stellungnahme des MB). Auch die Voraussetzungen des Paragraph 7, Absatz 2 und 3 DSG seien nicht gegeben. Paragraph 2 d, Absatz 2, FOG verweise auf Artikel 9, Absatz 2, Litera g, i und j DSGVO, die wiederum das Gebot der Verhältnismäßigkeit statuierten. Laut Paragraph 2 d, Absatz 2, Ziffer eins, FOG solle die Verarbeitung personenbezogener Daten grundsätzlich nur in pseudonymisierter Form erfolgen oder – im Fall von Veröffentlichungen – nur in anonymisierter/pseudonymisierter Form. Die Veröffentlichung der Adressdaten sowie der ZVR-Nummern entspreche weder dem Grundsatz der Datenminimierung noch dem Grundsatz der Verhältnismäßigkeit.
36. Den BF11 bis BF12 sowie dem MB wurde diese Stellungnahme der BF1 bis 10 von der belangten Behörde mit Schreiben vom 28.10.2021 zur Kenntnis gebracht. Darüber hinaus wurden sie zur Beantwortung ergänzender Fragen sowie zur Vorlage weiterer Unterlagen aufgefordert.
37. Die BF1 bis 10 brachten am 03.11.2021 eine weitere Eingabe ein, in welcher sie anführten, dass sich ausdrücklich auch die BF1 bis 6 auf die Verletzung im Recht auf Information beriefen, da sie nicht ausreichend iSd Art. 13 und 14 DSGVO über die Erhebung ihrer personenbezogenen Daten informiert worden seien.
38. Die BF1 bis 10 brachten am 03.11.2021 eine weitere Eingabe ein, in welcher sie anführten, dass sich ausdrücklich auch die BF1 bis 6 auf die Verletzung im Recht auf Information beriefen, da sie nicht ausreichend iSd Artikel 13 und 14 DSGVO über die Erhebung ihrer personenbezogenen Daten informiert worden seien.
39. Mit Verfahrensanordnung vom 22.11.2021 gab die belangte Behörde einem Antrag des MB auf Akteneinsicht unter Ausnahme bestimmter Aktenteile statt.
40. Die BF11 bis 12 sowie der MB replizierten auf die Aufforderung der belangten Behörde mit Stellungnahmen vom 25.11.
41. Im Folgenden wurde abermals in die Richtung argumentiert, dass die BF12 lediglich öffentlich verfügbare Daten verarbeite. Zum Verhältnis zwischen BF11 und BF12 wurde im Wesentlichen wiederholend auf die bisherigen Ausführungen Bezug genommen sowie darauf verwiesen, dass Universitätsprofessor:innen – wie der BF11 – in ihrer Funktion immer für die Universität, sofern sie Forschungstätigkeiten im Rahmen ihrer dortigen Professur durchführten, handeln würden. Universitätsprofessor:innen seien nicht weisungsfrei, sondern im Rahmen ihres Dienstverhältnisses sehr wohl an Weisungen dienstrechtlicher Natur der Universität gebunden. Beispielsweise könne die Universität die Weisung erteilen, personenbezogene Daten nicht für die Forschungstätigkeit zu verarbeiten, wenn diese der Meinung sei, dass die Daten rechtswidrig verarbeitet würden. Universitätsprofessor:innen seien somit Arbeitnehmer:innen der Universität und es sei die Pflicht von Universitätsprofessor:innen, im Rahmen ihres Arbeitsverhältnisses zu forschen und zu lehren. In datenschutzrechtlicher Hinsicht bestehe aber betreffend deren Forschungstätigkeiten ebensowenig eine Verantwortlichkeit der leitenden Professor:innen wie betreffend Anwesenheitslisten im Rahmen von Lehrveranstaltungen, die unter deren Leitung abgehalten würden. Die Freiheit der Wissenschaft und Lehre ändere in diesem Zusammenhang nichts an der datenschutzrechtlichen Rollenverteilung. Ein an der Universität forschender oder lehrender Professor handle nicht im eigenen Namen oder auch im eignen Interesse, sondern stets für die Universität selbst. Konkret führe der BF11 das betreffende Forschungsprojekt eigenverantwortlich im Rahmen seines Anstellungsverhältnisses an der BF12 und zwar in deren Räumlichkeiten und mit deren Betriebsmittel und deren Arbeitnehmer:innen durch, dieses falle in seinen Forschungsbereich. Die BF12 habe die Forschungstätigkeit des BF11 nicht untersagt und diesbezüglich auch sonst keine Vorgaben gemacht. Der BF11 habe die gegenständlichen Daten der BF1 bis 10 erhoben bzw. erheben lassen und seine Recherche Ergebnisse zu den einzelnen Vereinen auf der Y-Webseite veröffentlicht. Somit übernehme er die Überarbeitung der vorhandenen Daten zum Y-Projekt, die Beschreibung der XXXX , der XXXX , einschließlich der Erweiterung und Aktualisierung um XXXX Informationen. In diesem Zusammenhang habe der BF11 – abhängig von deren Verfügbarkeit und Relevanz – jeweils XXXX erhoben und auf der Y-Website veröffentlicht sowie in einer bei der BF12 geführten Datenbank gespeichert. Seitens des XXXX der BF12 sei das Forschungsprojekt insofern zur Kenntnis genommen worden, als dass der zuständige Vizerektor den F&E-Vertrag unterfertigt habe. Die faktische Datenverarbeitung sei durch die BF12 erfolgt. Das Projekt sei aus Mitteln des MB als Fördergeber finanziert worden, Empfängerin der Fördermittel sei die BF12 gewesen, diese habe das Projekt durchgeführt und der BF11 sei vonseiten der BF12 als Projektkoordinator benannt worden. Es sei seitens der MB diesbezüglich zu gar keiner Einflussnahme gekommen.Zum Verhältnis zwischen BF11 und BF12 wurde im Wesentlichen wiederholend auf die bisherigen Ausführungen Bezug genommen sowie darauf verwiesen, dass Universitätsprofessor:innen – wie der BF11 – in ihrer Funktion immer für die Universität, sofern sie Forschungstätigkeiten im Rahmen ihrer dortigen Professur durchführten, handeln würden. Universitätsprofessor:innen seien nicht weisungsfrei, sondern im Rahmen ihres Dienstverhältnisses sehr wohl an Weisungen dienstrechtlicher Natur der Universität gebunden. Beispielsweise könne die Universität die Weisung erteilen, personenbezogene Daten nicht für die Forschungstätigkeit zu verarbeiten, wenn diese der Meinung sei, dass die Daten rechtswidrig verarbeitet würden. Universitätsprofessor:innen seien somit Arbeitnehmer:innen der Universität und es sei die Pflicht von Universitätsprofessor:innen, im Rahmen ihres Arbeitsverhältnisses zu forschen und zu lehren. In datenschutzrechtlicher Hinsicht bestehe aber betreffend deren Forschungstätigkeiten ebensowenig eine Verantwortlichkeit der leitenden Professor:innen wie betreffend Anwesenheitslisten im Rahmen von Lehrveranstaltungen, die unter deren Leitung abgehalten würden. Die Freiheit der Wissenschaft und Lehre ändere in diesem Zusammenhang nichts an der datenschutzrechtlichen Rollenverteilung. Ein an der Universität forschender oder lehrender Professor handle nicht im eigenen Namen oder auch im eignen Interesse, sondern stets für die Universität selbst. Konkret führe der BF11 das betreffende Forschungsprojekt eigenverantwortlich im Rahmen seines Anstellungsverhältnisses an der BF12 und zwar in deren Räumlichkeiten und mit deren Betriebsmittel und deren Arbeitnehmer:innen durch, dieses falle in seinen Forschungsbereich. Die BF12 habe die Forschungstätigkeit des BF11 nicht untersagt und diesbezüglich auch sonst keine Vorgaben gemacht. Der BF11 habe die gegenständlichen Daten der BF1 bis 10 erhoben bzw. erheben lassen und seine Recherche Ergebnisse zu den einzelnen Vereinen auf der Y-Webseite veröffentlicht. Somit übernehme er die Überarbeitung der vorhandenen Daten zum Y-Projekt, die Beschreibung der römisch 40 , der römisch 40 , einschließlich der Erweiterung und Aktualisierung um römisch 40 Informationen. In diesem Zusammenhang habe der BF11 – abhängig von deren Verfügbarkeit und Relevanz – jeweils römisch 40 erhoben und auf der Y-Website veröffentlicht sowie in einer bei der BF12 geführten Datenbank gespeichert. Seitens des römisch 40 der BF12 sei das Forschungsprojekt insofern zur Kenntnis genommen worden, als dass der zuständige Vizerektor den F&E-Vertrag unterfertigt habe. Die faktische Datenverarbeitung sei durch die BF12 erfolgt. Das Projekt sei aus Mitteln des MB als Fördergeber finanziert worden, Empfängerin der Fördermittel sei die BF12 gewesen, diese habe das Projekt durchgeführt und der BF11 sei vonseiten der BF12 als Projektkoordinator benannt worden. Es sei seitens der MB diesbezüglich zu gar keiner Einflussnahme gekommen. Beim im Impressum zum Y-Projekt getätigten Hinweis, wonach diese ein Kooperationsprojekt zwischen dem BF11 und dem MB sei, werde der BF11 zwar namentlich genannt, aber sehr wohl seine Affiliation zur und Tätigkeit an der BF12 deutlich gemacht. Demnach werde der BF11 als Ansprechpartner an der BF12 und überhaupt für das gesamte Forschungsprojekt genannt. Auf die Kooperation sei auch gemäß dem F&E-Vertrag bei Veröffentlichungen hinzuweisen gewesen. Der MB werde in diesem Zusammenhang lediglich im Hinblick auf seine finanzielle Unterstützung als Kooperationspartner genannt. Er organisiere, sammle, prüfe, aktualisiere oder stelle für das betreffende Projekt keine personenbezogenen Daten zu Verfügung. Zwar sei im F&E-Vertrag eine gewisse Einbindung des MB bei der Erstellung des Y-Projekts vereinbart und seien ihm etwa die Zurverfügungstellung von Informationen sowie die Prüfung und Aktualisierung von Daten übertragen. Dies sei allerdings nie so praktiziert worden, denn die Rolle des MB beschränke sich seit Abschluss des F&E-Vertrags darauf, die BF12 punktuell auf etwaige Änderungen im Y-Projekt hinzuweisen, etwa wenn ein Verein aufgelöst oder neu gegründet werde. Die Entscheidung, ob darin Inhalte verändert oder gelöscht würden, verbleibe allein bei der BF
42. Abgesehen vom wissenschaftlichen Austausch zwischen Forschern bzw. wissenschaftlichen Einrichtungen sei der MB nicht in die Erstellung und Pflege des Y-Projekts eingebunden.
43. Mit dem nunmehr angefochtenen Bescheid wurde die Beschwerde der BF1 bis 10 wegen Verletzung im Recht auf Geheimhaltung wird als unbegründet abgewiesen (Spruchpunkt 1.). Den BF11 bis BF12 und dem MB wurde amtswegig aufgetragen, innerhalb einer Frist von sechs Wochen eine Vereinbarung gemäß Art. 26 DSGVO zum Y-Projekt abzuschließen (Spruchpunkt 2.). Die Beschwerde der BF1 bis 10 wegen Verletzung im Recht auf Information wurde als unbegründet abgewiesen (Spruchpunkt 3.).
44. Mit dem nunmehr angefochtenen Bescheid wurde die Beschwerde der BF1 bis 10 wegen Verletzung im Recht auf Geheimhaltung wird als unbegründet abgewiesen (Spruchpunkt 1.). Den BF11 bis BF12 und dem MB wurde amtswegig aufgetragen, innerhalb einer Frist von sechs Wochen eine Vereinbarung gemäß Artikel 26, DSGVO zum Y-Projekt abzuschließen (Spruchpunkt 2.). Die Beschwerde der BF1 bis 10 wegen Verletzung im Recht auf Information wurde als unbegründet abgewiesen (Spruchpunkt 3.). Rechtlich führte die belangte Behörde (im Hinblick auf Spruchpunkt 2.) aus, dass es für eine gemeinsame Verantwortlichkeit iSd. Art. 4 Z 7 iVm. Art. 26 DSGVO nicht darauf ankomme, dass die BF11 bis 12 und der MB zu gleichen Maßen oder mit vergleichbarer Intensität auf die einzelnen Verarbeitungsvorgänge Einfluss nähmen oder diese selbst durchführen oder selbst gewonnene Datensätze (mit-)verwalten würden, bzw. diese Zugang zu den in Rede stehenden Datensätzen hätten. Auch das (bloße) Bereitstellen finanzieller Mittel, welche eine Datenverarbeitung durch andere erst möglich machen, könne eine (gemeinsame) datenschutzrechtliche Verantwortlichkeit begründen, wenn dadurch ein gewisser Grad an (Mit-)Entscheidung erreicht wird. Der BF11 sei als Universitätsprofessor selbst Träger des Grundrechts der Wissenschaftsfreiheit und als solcher in der Forschung und Lehre weitgehend von Weisungen freigestellt. Als Leiter des fallbezogenen (Forschungs-)Projekts lege er die wesentlichen Projektziele sowie deren Ausführung fest und bestimme über Zwecke und Mittel der zugehörigen Datenverarbeitung mit. Die Auswahl der konkreten Daten und das Einfließen von Informationen in das Projekt, sowie ihre weitere Aufbereitung und Veröffentlichung, obliege maßgeblich dem BF
45. Somit würden seine Tätigkeiten in Bezug auf das betreffende Projekt die Voraussetzungen für eine gemeinsame Verantwortlichkeit erfüllen, weshalb dieser als (Mit-)Verantwortlicher zu qualifizieren sei. Dem Vorbringen des MB, wonach dieser lediglich als Geldgeber am Projekt beteiligt sei, stehe der F&E-Vertrag entgegen, wonach dem MB auch die Zurverfügungstellung von inhaltlichen Informationen sowie die Prüfung und Aktualisierung von Daten in Bezug auf XXXX obliege. Die vom MB zur Verfügung gestellten finanziellen Mittel seien letztendlich zweckgebunden und von ihm zur (weiteren) Realisierung des Y-Projekts bestimmt. Sohin vermöge das Argument des MB, keinerlei Entscheidungsgewalt hinsichtlich der Zwecke bzw. Ziele des Y-Projekts innezuhaben, nicht zu überzeugen, weswegen ebenso der MB als datenschutzrechtlich (Mit-)Verantwortlicher zu qualifizieren sei. Da insofern eine gemeinsame Verantwortung der BF11 bis 12 und des MB vorliege und sie keine Vereinbarung gemäß Art. 26 DSGVO abgeschlossen hätten, hätten sie untereinander eine derartige Vereinbarung abzuschließen und betroffenen Personen die Kernpunkte dieser Vereinbarung zur Verfügung zu stellen, wozu der der amtswegige Leistungsauftrag in Spruchpunkt
46. diene.Rechtlich führte die belangte Behörde (im Hinblick auf Spruchpunkt 2.) aus, dass es für eine gemeinsame Verantwortlichkeit iSd. Artikel 4, Ziffer 7, in Verbindung mit Artikel 26, DSGVO nicht darauf ankomme, dass die BF11 bis 12 und der MB zu gleichen Maßen oder mit vergleichbarer Intensität auf die einzelnen Verarbeitungsvorgänge Einfluss nähmen oder diese selbst durchführen oder selbst gewonnene Datensätze (mit-)verwalten würden, bzw. diese Zugang zu den in Rede stehenden Datensätzen hätten. Auch das (bloße) Bereitstellen finanzieller Mittel, welche eine Datenverarbeitung durch andere erst möglich machen, könne eine (gemeinsame) datenschutzrechtliche Verantwortlichkeit begründen, wenn dadurch ein gewisser Grad an (Mit-)Entscheidung erreicht wird. Der BF11 sei als Universitätsprofessor selbst Träger des Grundrechts der Wissenschaftsfreiheit und als solcher in der Forschung und Lehre weitgehend von Weisungen freigestellt. Als Leiter des fallbezogenen (Forschungs-)Projekts lege er die wesentlichen Projektziele sowie deren Ausführung fest und bestimme über Zwecke und Mittel der zugehörigen Datenverarbeitung mit. Die Auswahl der konkreten Daten und das Einfließen von Informationen in das Projekt, sowie ihre weitere Aufbereitung und Veröffentlichung, obliege maßgeblich dem BF
47. Somit würden seine Tätigkeiten in Bezug auf das betreffende Projekt die Voraussetzungen für eine gemeinsame Verantwortlichkeit erfüllen, weshalb dieser als (Mit-)Verantwortlicher zu qualifizieren sei. Dem Vorbringen des MB, wonach dieser lediglich als Geldgeber am Projekt beteiligt sei, stehe der F&E-Vertrag entgegen, wonach dem MB auch die Zurverfügungstellung von inhaltlichen Informationen sowie die Prüfung und Aktualisierung von Daten in Bezug auf römisch 40 obliege. Die vom MB zur Verfügung gestellten finanziellen Mittel seien letztendlich zweckgebunden und von ihm zur (weiteren) Realisierung des Y-Projekts bestimmt. Sohin vermöge das Argument des MB, keinerlei Entscheidungsgewalt hinsichtlich der Zwecke bzw. Ziele des Y-Projekts innezuhaben, nicht zu überzeugen, weswegen ebenso der MB als datenschutzrechtlich (Mit-)Verantwortlicher zu qualifizieren sei. Da insofern eine gemeinsame Verantwortung der BF11 bis 12 und des MB vorliege und sie keine Vereinbarung gemäß Artikel 26, DSGVO abgeschlossen hätten, hätten sie untereinander eine derartige Vereinbarung abzuschließen und betroffenen Personen die Kernpunkte dieser Vereinbarung zur Verfügung zu stellen, wozu der der amtswegige Leistungsauftrag in Spruchpunkt
48. diene. Zu Spruchpunkt
49. wurde ausgeführt, dass der Schutzbereich des § 1 DSG erfasse – im Unterschied zur DSGVO – sowohl natürliche, als auch juristische Personen. Sofern die BF7 bis 10 (als natürliche Personen) vorbrächten, einige der unter Y-Website veröffentlichten und aus dem ZVR erhobenen Anschriften hätten zum Teil ihre Privatadressen bzw. jene von Vereinsmitgliedern zum Gegenstand, so handle es sich bei jenen im ZVR öffentlich einsehbaren Anschriften um Daten der BF1 bis 6 (nämlich ihren jeweils eingetragenen Vereinssitz). Dass einige Vereinsanschriften gleichzeitig natürlichen Personen zuzuordnen seien, sei hierbei weder aus dem ZVR, noch aus den im Y-Projekt zur BF1 bis 6 bereitgestellten Informationen ersichtlich. Dieser Umstand könnte allenfalls nur nach weitergehender Recherche im ZMR im Wege einer Meldeauskunft gemäß § 18 MeldeG eruiert werden, wobei natürlichen Personen die Möglichkeit offenstehe, derartige Abfragen mittels Beantragung einer Auskunftssperre zu unterbinden. Im ZVR würden zu den BF1 bis 6 ausschließlich die Namen der BF7 bis 10 in ihrer Funktion als organschaftliche Vertreter verarbeitet. Weitere Merkmale, anhand derer die BF7 bis 10 bestimmt werden könnten, seien dem ZVR nicht zu entnehmen. Im Ergebnis müssten daher die BF11 bis 12 und der MB zu allen im ZVR angegebenen organschaftlichen Vertretern der BF1 bis 6 individuelle ZMR-Abfragen unter Verwendung der jeweiligen Namen und des im ZVR ersichtlichen Vereinssitzes tätigen. Zwar sei eine auf diesem Wege erfolgende Identifizierung der BF7 bis 10 nicht gänzlich denkunmöglich, nach Ansicht der belangten Behörde aber mit einem ungewöhnlich hohen Ermittlungsaufwand verbunden und übersteige eine vernünftigerweise zu erwartende Anstrengung. Es hätten sich keine Anhaltspunkte ergeben, dass die BF11 und 12 und der MB derartige ZMR-Abfragen zu den BF7 bis 10 getätigt hätten, denn auch im Rahmen der Y-K sei nicht ersichtlich, dass (anderweitige) Informationen über die BF7 bis 10 (wie bspw. Namen oder Geburtsdaten) verarbeitet würden. Sohin handle es sich bei den im Y-Projekt zur BF1 bis 6 bereitgestellten Informationen um keine personenbezogenen Daten der BF7 bis 10, weshalb diese bereits aus diesem Grund nicht in ihrem Recht auf Geheimhaltung verletzt worden sein könnten.Zu Spruchpunkt
50. wurde ausgeführt, dass der Schutzbereich des Paragraph eins, DSG erfasse – im Unterschied zur DSGVO – sowohl natürliche, als auch juristische Personen. Sofern die BF7 bis 10 (als natürliche Personen) vorbrächten, einige der unter Y-Website veröffentlichten und aus dem ZVR erhobenen Anschriften hätten zum Teil ihre Privatadressen bzw. jene von Vereinsmitgliedern zum Gegenstand, so handle es sich bei jenen im ZVR öffentlich einsehbaren Anschriften um Daten der BF1 bis 6 (nämlich ihren jeweils eingetragenen Vereinssitz). Dass einige Vereinsanschriften gleichzeitig natürlichen Personen zuzuordnen seien, sei hierbei weder aus dem ZVR, noch aus den im Y-Projekt zur BF1 bis 6 bereitgestellten Informationen ersichtlich. Dieser Umstand könnte allenfalls nur nach weitergehender Recherche im ZMR im Wege einer Meldeauskunft gemäß Paragraph 18, MeldeG eruiert werden, wobei natürlichen Personen die Möglichkeit offenstehe, derartige Abfragen mittels Beantragung einer Auskunftssperre zu unterbinden. Im ZVR würden zu den BF1 bis 6 ausschließlich die Namen der BF7 bis 10 in ihrer Funktion als organschaftliche Vertreter verarbeitet. Weitere Merkmale, anhand derer die BF7 bis 10 bestimmt werden könnten, seien dem ZVR nicht zu entnehmen. Im Ergebnis müssten daher die BF11 bis 12 und der MB zu allen im ZVR angegebenen organschaftlichen Vertretern der BF1 bis 6 individuelle ZMR-Abfragen unter Verwendung der jeweiligen Namen und des im ZVR ersichtlichen Vereinssitzes tätigen. Zwar sei eine auf diesem Wege erfolgende Identifizierung der BF7 bis 10 nicht gänzlich denkunmöglich, nach Ansicht der belangten Behörde aber mit einem ungewöhnlich hohen Ermittlungsaufwand verbunden und übersteige eine vernünftigerweise zu erwartende Anstrengung. Es hätten sich keine Anhaltspunkte ergeben, dass die BF11 und 12 und der MB derartige ZMR-Abfragen zu den BF7 bis 10 getätigt hätten, denn auch im Rahmen der Y-K sei nicht ersichtlich, dass (anderweitige) Informationen über die BF7 bis 10 (wie bspw. Namen oder Geburtsdaten) verarbeitet würden. Sohin handle es sich bei den im Y-Projekt zur BF1 bis 6 bereitgestellten Informationen um keine personenbezogenen Daten der BF7 bis 10, weshalb diese bereits aus diesem Grund nicht in ihrem Recht auf Geheimhaltung verletzt worden sein könnten. Hinsichtlich der BF1 bis 6 sei der Anwendungsbereich von § 1 Abs. 1 DSG jedenfalls eröffnet, da sich die in Rede stehenden Informationen – diese beträfen allgemeine „Stammdaten“ und ergänzende Informationen zu ihrer Vereinsorganisation und –tätigkeit – iSd Art. 4 Z 1 DSGVO auf diese bezögen und ihre Erhebung, Ordnung, Speicherung sowie Verbreitung im Internet unter der Y-Website durch die BF11 bis 12 sowie den MB zweifelsfrei eine (automatisierte) Verarbeitung iSd Art. 4 Z 1 DSGVO darstelle. Die Anwendbarkeit der XXXX iSd Art. 9 EMRK bzw. Art. 10 EU-GRC auf die BF1 bis 6 sei zu bejahen und würden im Rahmen des Y-Projekts zu einem kleinen Teil insofern auch Informationen iSd. Art. 9 Abs. 1 DSGVO über die BF1 bis 6 verarbeitet. Bezüglich der Stammdaten könne im Grundsatz von einer geringeren Schutzwürdigkeit ausgegangen werden, diese seien ausschließlich aus öffentlich zugänglichen Quellen recherchiert worden. Als weiteres Argument für die Annahme einer geringeren Schutzwürdigkeit ihrer Daten lasse sich der Umstand ins Treffen führen, wonach die BF1 bis 6 juristische Personen seien. Demgegenüber lasse sich aus dem Vorbringen der BF1 bis 6, dass das ZVR „umständlich“ zu bedienen und die darin veröffentlichten Daten schwer zu finden seien, für die Frage der allgemeinen Verfügbarkeit jener Daten nichts gewinnen.Hinsichtlich der BF1 bis 6 sei der Anwendungsbereich von Paragraph eins, Absatz eins, DSG jedenfalls eröffnet, da sich die in Rede stehenden Informationen – diese beträfen allgemeine „Stammdaten“ und ergänzende Informationen zu ihrer Vereinsorganisation und –tätigkeit – iSd Artikel 4, Ziffer eins, DSGVO auf diese bezögen und ihre Erhebung, Ordnung, Speicherung sowie Verbreitung im Internet unter der Y-Website durch die BF11 bis 12 sowie den MB zweifelsfrei eine (automatisierte) Verarbeitung iSd Artikel 4, Ziffer eins, DSGVO darstelle. Die Anwendbarkeit der römisch 40 iSd Artikel 9, EMRK bzw. Artikel 10, EU-GRC auf die BF1 bis 6 sei zu bejahen und würden im Rahmen des Y-Projekts zu einem kleinen Teil insofern auch Informationen iSd. Artikel 9, Absatz eins, DSGVO über die BF1 bis 6 verarbeitet. Bezüglich der Stammdaten könne im Grundsatz von einer geringeren Schutzwürdigkeit ausgegangen werden, diese seien ausschließlich aus öffentlich zugänglichen Quellen recherchiert worden. Als weiteres Argument für die Annahme einer geringeren Schutzwürdigkeit ihrer Daten lasse sich der Umstand ins Treffen führen, wonach die BF1 bis 6 juristische Personen seien. Demgegenüber lasse sich aus dem Vorbringen der BF1 bis 6, dass das ZVR „umständlich“ zu bedienen und die darin veröffentlichten Daten schwer zu finden seien, für die Frage der allgemeinen Verfügbarkeit jener Daten nichts gewinnen. Die Eingriffe der BF11 bis 12 sowie des MB in das Recht auf Geheimhaltung der BF1 bis 6 könnten auch auf ausreichende Rechtsfertigungstatbestände gestützt werden: Zwar sei zunächst die Ausnahme nach § 9 Abs. 1 DSG im vorliegenden Fall nicht einschlägig, gleichwohl würden die BF11 und 12 sowie der MB die im Rahmen des Y-Projekts durchgeführten Datenverarbeitungen im Weiteren auf die Freiheit der Meinungsäußerung sowie die Freiheit der Wissenschaft und Forschung stützen. § 1 Abs. 1 DSG sei im Lichte der unionsrechtlichen Vorgaben einschränkend zu interpretieren, sodass allgemein verfügbare Daten nicht ipso facto vom Geltungsbereich datenschutzrechtlicher Vorschriften ausgenommen seien. Vielmehr bedürfe es für die Verarbeitung auch dieser Daten eine entsprechende Rechtfertigung im Sinne des § 1 Abs. 2 DSG bzw. Art. 6 Abs. 1 DSGVO oder Art. 9 Abs. 2 DSGVO. Gegenständlich sei zu berücksichtigen, dass durch die Verknüpfung von (zulässigerweise veröffentlichten) personenbezogenen Daten zusammen mit der Anreicherung durch weitere, selbst recherchierte bzw. erstellte Informationen im Y-Projekt im Ergebnis neue Daten und Informationen generiert würden. Somit liege diesbezüglich eine neue Verwendung mit einem neuen Zweck vor, welche daher auf ihre Rechtmäßigkeit zu überprüfen sei. Das in § 1 DSG verfassungsrechtlich normierte Grundrecht auf Datenschutz gelte einerseits nicht absolut und könne andererseits nicht isoliert betrachtet werden, weil daneben andere, durch weitere Grundrechte geschützte Rechtsgüter zu berücksichtigen seien. In die Abwägung seien einerseits das Interesse der BF1 bis 6 an der Geheimhaltung ihrer personenbezogenen Daten und andererseits das Interesse der BF11 bis 12 sowie des MB an der Durchführung des betreffenden Projekts im Rahmen der Freiheit der Wissenschaft und Meinungsäußerung. Die im Rahmen des Y-Projekts durchgeführten Tätigkeiten würden den Wissenschaftsbegriff erfüllen und seien der Wissenschaftsfreiheit iSd Art. 17 StGG zugänglich. Folglich könnten sich die BF11 bis 12 und der MB auf geeignete Rechtsgrundlagen stützen und komme ihnen auch ein berechtigtes Interesse an der Ausübung jener Freiheiten zu. Dass lediglich der BF11 und die BF12, nicht aber auch der MB, dem „klassischen“ wissenschaftlichen Bereich zuzuordnen seien, schade nicht, da einerseits die Wissenschaftsfreiheit jedermann (also auch dem MB) zukomme und andererseits gegenständlich ein gewisser Grad an Arbeitsteilung vorliege und die BF11 bis 12 und der MB in unterschiedlichem Umfang und Ausmaß am Y-Projekt mitgewirkt hätten. Auch eine Prüfung am Maßstab des Art. 10 EMRK führe zu keinem anderen Ergebnis. Bei der Abwägung zwischen den Grundrechten nach § 1 DSG und Art. 17 StGG bzw. Art. 10 EMRK könne auf die in der Rechtsprechung des EGMR sowie des EuGH – für die Zwecke der Abwägung zwischen dem Recht auf Achtung des Privatlebens und dem Recht auf freie Meinungsäußerung – entwickelten Kriterien zurückgegriffen werden. Es liege ein Beitrag zu einer Debatte von allgemeinem Interesse vor, es könne auch davon ausgegangen werden, dass (zumindest) der Kern der über die BF1 bis 6 bereitgestellten Informationen richtig sei. Eine Darstellung der BF1 bis 6 als XXXX könne die belangte Behörde darin nicht erkennen. Zur Art und Weise sowie den Umständen, unter denen die Informationen erlangt worden seien, hätten die BF11 bis 12 und der MB nachvollziehbar dargelegt, dass die im Y-Projekt veröffentlichten Stammdaten auf Recherchen in öffentlich zugänglichen Quellen beruhen würden. Bezüglich der Art der betroffenen Information und ihrer Sensitivität für das Privatleben der Betroffenen hätten die BF1 bis 6 – abgesehen von der Vorlage allgemeiner Medienberichte – nicht dargelegt, inwiefern sie selbst von der Aktion betreffend die Aufstellung von Warntafeln vor XXXX Einrichtungen betroffen gewesen seien. Eine „Popularklage“ sei in Österreich nicht vorgesehen. In einer Gesamtschau dieser Überlegungen sei das von den BF11 bis 12 und vom MB in Anspruch genommene Grundrecht auf Wissenschafts- und Meinungsäußerungsfreiheit höher zu gewichten sei, als jenes der BF1 bis 6 auf Geheimhaltung ihrer personenbezogenen Daten.Die Eingriffe der BF11 bis 12 sowie des MB in das Recht auf Geheimhaltung der BF1 bis 6 könnten auch auf ausreichende Rechtsfertigungstatbestände gestützt werden: Zwar sei zunächst die Ausnahme nach Paragraph 9, Absatz eins, DSG im vorliegenden Fall nicht einschlägig, gleichwohl würden die BF11 und 12 sowie der MB die im Rahmen des Y-Projekts durchgeführten Datenverarbeitungen im Weiteren auf die Freiheit der Meinungsäußerung sowie die Freiheit der Wissenschaft und Forschung stützen. Paragraph eins, Absatz eins, DSG sei im Lichte der unionsrechtlichen Vorgaben einschränkend zu interpretieren, sodass allgemein verfügbare Daten nicht ipso facto vom Geltungsbereich datenschutzrechtlicher Vorschriften ausgenommen seien. Vielmehr bedürfe es für die Verarbeitung auch dieser Daten eine entsprechende Rechtfertigung im Sinne des Paragraph eins, Absatz 2, DSG bzw. Artikel 6, Absatz eins, DSGVO oder Artikel 9, Absatz 2, DSGVO. Gegenständlich sei zu berücksichtigen, dass durch die Verknüpfung von (zulässigerweise veröffentlichten) personenbezogenen Daten zusammen mit der Anreicherung durch weitere, selbst recherchierte bzw. erstellte Informationen im Y-Projekt im Ergebnis neue Daten und Informationen generiert würden. Somit liege diesbezüglich eine neue Verwendung mit einem neuen Zweck vor, welche daher auf ihre Rechtmäßigkeit zu überprüfen sei. Das in Paragraph eins, DSG verfassungsrechtlich normierte Grundrecht auf Datenschutz gelte einerseits nicht absolut und könne andererseits nicht isoliert betrachtet werden, weil daneben andere, durch weitere Grundrechte geschützte Rechtsgüter zu berücksichtigen seien. In die Abwägung seien einerseits das Interesse der BF1 bis 6 an der Geheimhaltung ihrer personenbezogenen Daten und andererseits das Interesse der BF11 bis 12 sowie des MB an der Durchführung des betreffenden Projekts im Rahmen der Freiheit der Wissenschaft und Meinungsäußerung. Die im Rahmen des Y-Projekts durchgeführten Tätigkeiten würden den Wissenschaftsbegriff erfüllen und seien der Wissenschaftsfreiheit iSd Artikel 17, StGG zugänglich. Folglich könnten sich die BF11 bis 12 und der MB auf geeignete Rechtsgrundlagen stützen und komme ihnen auch ein berechtigtes Interesse an der Ausübung jener Freiheiten zu. Dass lediglich der BF11 und die BF12, nicht aber auch der MB, dem „klassischen“ wissenschaftlichen Bereich zuzuordnen seien, schade nicht, da einerseits die Wissenschaftsfreiheit jedermann (also auch dem MB) zukomme und andererseits gegenständlich ein gewisser Grad an Arbeitsteilung vorliege und die BF11 bis 12 und der MB in unterschiedlichem Umfang und Ausmaß am Y-Projekt mitgewirkt hätten. Auch eine Prüfung am Maßstab des Artikel 10, EMRK führe zu keinem anderen Ergebnis. Bei der Abwägung zwischen den Grundrechten nach Paragraph eins, DSG und Artikel 17, StGG bzw. Artikel 10, EMRK könne auf die in der Rechtsprechung des EGMR sowie des EuGH – für die Zwecke der Abwägung zwischen dem Recht auf Achtung des Privatlebens und dem Recht auf freie Meinungsäußerung – entwickelten Kriterien zurückgegriffen werden. Es liege ein Beitrag zu einer Debatte von allgemeinem Interesse vor, es könne auch davon ausgegangen werden, dass (zumindest) der Kern der über die BF1 bis 6 bereitgestellten Informationen richtig sei. Eine Darstellung der BF1 bis 6 als römisch 40 könne die belangte Behörde darin nicht erkennen. Zur Art und Weise sowie den Umständen, unter denen die Informationen erlangt worden seien, hätten die BF11 bis 12 und der MB nachvollziehbar dargelegt, dass die im Y-Projekt veröffentlichten Stammdaten auf Recherchen in öffentlich zugänglichen Quellen beruhen würden. Bezüglich der Art der betroffenen Information und ihrer Sensitivität für das Privatleben der Betroffenen hätten die BF1 bis 6 – abgesehen von der Vorlage allgemeiner Medienberichte – nicht dargelegt, inwiefern sie selbst von der Aktion betreffend die Aufstellung von Warntafeln vor römisch 40 Einrichtungen betroffen gewesen seien. Eine „Popularklage“ sei in Österreich nicht vorgesehen. In einer Gesamtschau dieser Überlegungen sei das von den BF11 bis 12 und vom MB in Anspruch genommene Grundrecht auf Wissenschafts- und Meinungsäußerungsfreiheit höher zu gewichten sei, als jenes der BF1 bis 6 auf Geheimhaltung ihrer personenbezogenen Daten. Zu Spruchpunkt
51. erwog die belangte Behörde, dass die durch die DSGVO gewährleisteten Betroffenenrechte ausschließlich natürlichen Personen zukämen. Ein mit Art. 13 und 14 DSGVO vergleichbares Recht sei dem DSG dagegen fremd. Den BF1 bis 6 kämen die Rechte nach Art. 13 und 14 DSGVO daher schon grundsätzlich nicht zu, weil diese in § 1 DSG keine Ausdehnung auf juristische Personen fänden. In Bezug auf die BF7 bis 10 sei Art. 13 und 14 DSGVO gemein, dass ein „Erheben“ von personenbezogenen Daten einer betroffenen Person Voraussetzung für die Begründung der jeweiligen Informationspflicht sei. Bei den im Y-Projekt zur Verfügung gestellten Daten handle es sich jedoch ausschließlich um Daten der BF1 bis 6, personenbezogene Daten der BF7 bis 10 würden dagegen nicht verarbeitet. Mangels Erhebung ihrer personenbezogenen Daten durch die BF11 bis 12 sowie den MB hätten die BF7 bis 10 daher auch keinen Anspruch auf Informationen iSd Art. 13 und 14 DSGVO.Zu Spruchpunkt
52. erwog die belangte Behörde, dass die durch die DSGVO gewährleisteten Betroffenenrechte ausschließlich natürlichen Personen zukämen. Ein mit Artikel 13 und 14 DSGVO vergleichbares Recht sei dem DSG dagegen fremd. Den BF1 bis 6 kämen die Rechte nach Artikel 13 und 14 DSGVO daher schon grundsätzlich nicht zu, weil diese in Paragraph eins, DSG keine Ausdehnung auf juristische Personen fänden. In Bezug auf die BF7 bis 10 sei Artikel 13 und 14 DSGVO gemein, dass ein „Erheben“ von personenbezogenen Daten einer betroffenen Person Voraussetzung für die Begründung der jeweiligen Informationspflicht sei. Bei den im Y-Projekt zur Verfügung gestellten Daten handle es sich jedoch ausschließlich um Daten der BF1 bis 6, personenbezogene Daten der BF7 bis 10 würden dagegen nicht verarbeitet. Mangels Erhebung ihrer personenbezogenen Daten durch die BF11 bis 12 sowie den MB hätten die BF7 bis 10 daher auch keinen Anspruch auf Informationen iSd Artikel 13 und 14 DSGVO.
53. Mit Bescheid vom XXXX 2022, Zl. XXXX , wurde der Antrag auf Akteneinsicht vom XXXX 2022 der BF1 bis 10 für einen Teil der GZ: XXXX , nämlich für den zwischen der BF12 und dem MB abgeschlossenen F&E-Vertrag samt seinen Anlagen, gemäß § 17 Abs. 3 AVG abgewiesen (Spruchpunkt 1.). Weiters wurde die aufschiebende Wirkung einer allfällig rechtzeitig eingebrachten und zulässigen Beschwerde nach Art. 130 Abs. 1 Z 1 B-VG ausgeschlossen (Spruchpunkt 2.).
54. Mit Bescheid vom römisch 40 2022, Zl. römisch 40 , wurde der Antrag auf Akteneinsicht vom römisch 40 2022 der BF1 bis 10 für einen Teil der GZ: römisch 40 , nämlich für den zwischen der BF12 und dem MB abgeschlossenen F&E-Vertrag samt seinen Anlagen, gemäß Paragraph 17, Absatz 3, AVG abgewiesen (Spruchpunkt 1.). Weiters wurde die aufschiebende Wirkung einer allfällig rechtzeitig eingebrachten und zulässigen Beschwerde nach Artikel 130, Absatz eins, Ziffer eins, B-VG ausgeschlossen (Spruchpunkt 2.).
55. Gegen die Spruchpunkte
56. und
57. des unter Punkt
58. genannten verfahrensgegenständlichen Bescheides erhoben die BF1 bis 10 fristgerecht Beschwerde an das Bundesverwaltungsgericht. Darin brachten sie nach einer Darstellung des Verfahrensganges und Sachverhaltes im Wesentlichen vor, dass es sich bei den Vereinssitzen teils um Privatadressen der BF7 bis 10 handle, die allesamt organschaftliche Vertreter:innen der BF1 bzw. ihrer XXXX organisationen seien, bei der Anschrift handle es sich geradezu idealtypisch um persönliche Informationen iSd Art. 4 Z 1 DSGVO, die eine Identifikation zulassen würden. Insbesondere in Zusammenschau mit weiteren Informationen könne auch ein klarer Bezug zu den BF7 bis 9 hergestellt werden, so würden die Namen der BF7 bis 9 in ihrer Funktion als organschaftliche Vertreter im ZVR verarbeitet. Der BF9 sei überdies auf der Homepage der BF1 unter XXXX als Vorsitzender der XXXX organisation mit Namen und Fotografie leicht auffindbar. Folglich ergebe sich aus dem öffentlichen Register der Name der BF7 bis 10 und zusätzlich über Link, platziert auf der Y-Website, der Name des BF
59. Die belangte Behörde führe an, eine Identifizierung mittels ZMR-Abfrage wäre „mit einem ungewöhnlich hohen Ermittlungsaufwand verbunden und [würde] […] eine vernünftigerweise zu erwartende Anstrengung“ (ebd) übersteigen, wobei die belangte Behörde den Auftrag des Y-Projekts, nämlich die Darstellung der XXXX sowie die XXXX Vereine, vollkommen außer Acht lasse. Somit erweise sich ein entsprechender Ermittlungsaufwand im Rahmen des vermeintlich wissenschaftlichen Projekts für die Verantwortlichen als vernünftigerweise erwartbar, dies sei insbesondere auch in Bezug auf einen mit den Informationen auf der Y-Website und diese in für die BF1 bis 10 schädlicher Weise verarbeiteten, erweiterten Personenkreis mit verfahrensmaßgeblicher Wahrscheinlichkeit zu erwarten. Die DSB verweise in diesem Zusammenhang auch selbst auf einschlägige Judikatur, wonach ein personenbezogenes Datum vorliege, wenn die Identifizierung natürlicher Personen mit einem „vertretbaren und rechtlich zulässigen Aufwand“ möglich sei. Für jeden Dritten sei es ohne weiteres möglich die jeweilige Adresse aufzusuchen und die Personen zu identifizieren, beim BF9 habe eine fremde Person auch tatsächlich dessen Wohnung aufgesucht. Dass es sich um Privatadressen der betroffenen Personen handle, sei sowohl für die Verantwortlichen wie auch Dritte im Rahmen zulässiger Möglichkeiten einer ZMR-Abfrage und durch ein Aufsuchen der jeweiligen Adressen auch rechtlich und faktisch eruierbar. Eine Auskunftssperre zu veranlassen, könne von den BF7 bis 10 nicht erwartet werden. Zudem beziehe sich die verarbeitete Information auf die BF7 bis
60. Folglich handle es sich um personenbezogene Daten natürlicher Personen, womit die Zulässigkeit und Rechtmäßigkeit der Verarbeitung nach der DSGVO zu prüfen gewesen wäre. Zudem seien im Rahmen des Y-Projekts nicht nur die Privatanschrift, sondern ebenso weitere personenbezogene Daten des BF9 verarbeitet worden. So enthielten die Kurzinformationen zur BF1 und den XXXX , neben Daten, welche klar die juristische Person beträfen (wie z.B. Mitgliederzahlen), auch die Darstellung der XXXX sowie ebenso die Wiedergabe von Vorwürfen betreffend eine angeblich bestehende Nähe zur XXXX . Der Begriff der personenbezogenen Daten iSd Art 4 Z 1 DSGVO – sei entsprechend der EuGH-Judikatur und Literatur - weit auszulegen und umfasse ebenso die auf der Y-Website angeführten Meinungen und Behauptungen. Die Informationen betreffend die XXXX der Vereinsmitglieder und einer dezidiert ausgeführten angeblichen XXXX behaupteten Nähe XXXX schlage überdies auf sämtliche BF7 bis 10 durch, womit es sich bei diesen Informationen ebenso um personenbezogene Daten handle. Folglich wäre die belangte Behörde verpflichtet gewesen, nicht nur hinsichtlich der Privatadressen der BF7 bis 10, sondern auch in Bezug auf die behaupteten Informationen zu deren XXXX (Art. 9 Abs. 1 DSGVO) die Rechtmäßigkeit der Verarbeitung nach der DSGVO zu überprüfen.
61. Gegen die Spruchpunkte
62. und
63. des unter Punkt
64. genannten verfahrensgegenständlichen Bescheides erhoben die BF1 bis 10 fristgerecht Beschwerde an das Bundesverwaltungsgericht. Darin brachten sie nach einer Darstellung des Verfahrensganges und Sachverhaltes im Wesentlichen vor, dass es sich bei den Vereinssitzen teils um Privatadressen der BF7 bis 10 handle, die allesamt organschaftliche Vertreter:innen der BF1 bzw. ihrer römisch 40 organisationen seien, bei der Anschrift handle es sich geradezu idealtypisch um persönliche Informationen iSd Artikel 4, Ziffer eins, DSGVO, die eine Identifikation zulassen würden. Insbesondere in Zusammenschau mit weiteren Informationen könne auch ein klarer Bezug zu den BF7 bis 9 hergestellt werden, so würden die Namen der BF7 bis 9 in ihrer Funktion als organschaftliche Vertreter im ZVR verarbeitet. Der BF9 sei überdies auf der Homepage der BF1 unter römisch 40 als Vorsitzender der römisch 40 organisation mit Namen und Fotografie leicht auffindbar. Folglich ergebe sich aus dem öffentlichen Register der Name der BF7 bis 10 und zusätzlich über Link, platziert auf der Y-Website, der Name des BF
65. Die belangte Behörde führe an, eine Identifizierung mittels ZMR-Abfrage wäre „mit einem ungewöhnlich hohen Ermittlungsaufwand verbunden und [würde] […] eine vernünftigerweise zu erwartende Anstrengung“ (ebd) übersteigen, wobei die belangte Behörde den Auftrag des Y-Projekts, nämlich die Darstellung der römisch 40 sowie die römisch 40 Vereine, vollkommen außer Acht lasse. Somit erweise sich ein entsprechender Ermittlungsaufwand im Rahmen des vermeintlich wissenschaftlichen Projekts für die Verantwortlichen als vernünftigerweise erwartbar, dies sei insbesondere auch in Bezug auf einen mit den Informationen auf der Y-Website und diese in für die BF1 bis 10 schädlicher Weise verarbeiteten, erweiterten Personenkreis mit verfahrensmaßgeblicher Wahrscheinlichkeit zu erwarten. Die DSB verweise in diesem Zusammenhang auch selbst auf einschlägige Judikatur, wonach ein personenbezogenes Datum vorliege, wenn die Identifizierung natürlicher Personen mit einem „vertretbaren und rechtlich zulässigen Aufwand“ möglich sei. Für jeden Dritten sei es ohne weiteres möglich die jeweilige Adresse aufzusuchen und die Personen zu identifizieren, beim BF9 habe eine fremde Person auch tatsächlich dessen Wohnung aufgesucht. Dass es sich um Privatadressen der betroffenen Personen handle, sei sowohl für die Verantwortlichen wie auch Dritte im Rahmen zulässiger Möglichkeiten einer ZMR-Abfrage und durch ein Aufsuchen der jeweiligen Adressen auch rechtlich und faktisch eruierbar. Eine Auskunftssperre zu veranlassen, könne von den BF7 bis 10 nicht erwartet werden. Zudem beziehe sich die verarbeitete Information auf die BF7 bis
66. Folglich handle es sich um personenbezogene Daten natürlicher Personen, womit die Zulässigkeit und Rechtmäßigkeit der Verarbeitung nach der DSGVO zu prüfen gewesen wäre. Zudem seien im Rahmen des Y-Projekts nicht nur die Privatanschrift, sondern ebenso weitere personenbezogene Daten des BF9 verarbeitet worden. So enthielten die Kurzinformationen zur BF1 und den römisch 40 , neben Daten, welche klar die juristische Person beträfen (wie z.B. Mitgliederzahlen), auch die Darstellung der römisch 40 sowie ebenso die Wiedergabe von Vorwürfen betreffend eine angeblich bestehende Nähe zur römisch 40 . Der Begriff der personenbezogenen Daten iSd Artikel 4, Ziffer eins, DSGVO – sei entsprechend der EuGH-Judikatur und Literatur - weit auszulegen und umfasse ebenso die auf der Y-Website angeführten Meinungen und Behauptungen. Die Informationen betreffend die römisch 40 der Vereinsmitglieder und einer dezidiert ausgeführten angeblichen römisch 40 behaupteten Nähe römisch 40 schlage überdies auf sämtliche BF7 bis 10 durch, womit es sich bei diesen Informationen ebenso um personenbezogene Daten handle. Folglich wäre die belangte Behörde verpflichtet gewesen, nicht nur hinsichtlich der Privatadressen der BF7 bis 10, sondern auch in Bezug auf die behaupteten Informationen zu deren römisch 40 (Artikel 9, Absatz eins, DSGVO) die Rechtmäßigkeit der Verarbeitung nach der DSGVO zu überprüfen. Selbst unter der Annahme, dass die Verarbeitung personenbezogener Daten zu wissenschaftlichen Forschungszwecken privilegiert sein könnte, so würden doch weiterhin die Grundsätze der Datenminimierung (Art. 5 Abs. 1 lit c DSGVO) sowie der Verhältnismäßigkeit (§ 1 Abs. 2 letzter Satz DSG) gelten. Es sei in Bezug auf die BF7 bis 10 nicht offengelegt worden, dass es sich hierbei auch um personenbezogene Daten handle. Der behauptete wissenschaftliche Zweck der Datenverarbeitung erweise sich bei näherer Betrachtung als nicht vorliegend. Zudem seien die in Rede stehenden Daten überschießend verarbeitet worden. Die auch der DSGVO immanenten Verhältnismäßigkeitsprüfung falle klar zu Gunsten der BF7 bis 10 aus, insbesondere habe die belangte Behörde hierbei übersehen, dass durch die Privatanschriften in den höchstpersönlichen Lebensbereich der Betroffenen eingegriffen worden sei, der jedenfalls das Leben in und mit der Familie erfasse, was den Kernbereich der geschützten Privatsphäre darstelle. Die DSB differenziere hier auch nicht zwischen den einzelnen Verarbeitungen. Den grund- und unionsrechtlichen Vorgaben sei mit der Veröffentlichung auf der Website jedenfalls nicht entsprochen worden, weswegen durch die Verarbeitung der personenbezogenen Daten die Grundprinzipien der DSGVO und damit auch des Grundrechts auf Geheimhaltung verletzt worden seien, es sei auch kein Zulässigkeitstatbestand der DSGVO erfüllt. Die Privilegierung der Datenverarbeitung für die im öffentlichen Interesse gelegene wissenschaftliche Forschung, Statistik und Archivierung gemäß § 7 DSG sei gegenständlich aus mehreren – näher ausgeführten - Gründen nicht einschlägig. Die Veröffentlichung der Daten auf der Y-Website entspreche auch nicht den Vorgaben nach § 2d FOG. Im Rahmen des Y-Projekts seien jedenfalls personenbezogene Daten betreffend die BF1 bis 6 veröffentlicht und damit verarbeitet worden. Zudem seien durch die Verknüpfung von personenbezogenen Daten zusammen mit der Anreicherung durch weitere recherchierte Daten im Y-Projekt im Ergebnis neue Daten und Informationen generiert worden. Die auf Seite XXXX der Beschreibung des Projekts angeführten Argumente zur Erforderlichkeit der Veröffentlichung der Adressen seien nicht überzeugend. Der Mehrwert der Veröffentlichung der Daten der BF1 bis 10 sei auch am Maßstab eines in der Forschung verorteten objektiven Dritten nicht zu erkennen. Zudem zeige auch ein Blick in die Detailbeschreibungen im Y-Projekt die nur mangelhaft verwendeten wissenschaftlichen Standards auf. Der wesentliche Grundsatz nach Art. 5 Abs. 1 lit. a DSGVO müsse auch auf juristische Personen angewendet werden, womit auch eine Information erfolgen müsse. Vor diesem Hintergrund könne somit der Eingriff auf Basis dieser Grundfreiheit nicht gerechtfertigt werden. Die Veröffentlichung sei auch in Bezug auf die Verletzung des Grundsatzes der Datenminimierung unzulässig. Ebenso wenig vermöge das behauptete Recht auf freie Meinungsäußerung nach Art 10 EMRK im gegebenen Fall zu überzeugen. Die Zuspitzung politischer Einschätzungen unter dem Deckmantel der Publikation von Forschungsergebnissen könne nicht als Beitrag zu einer Debatte von allgemeinem Interesse gewertet werden. Auch die Auswahl der Informationen und Herstellung einer Verbindung der BF1 bis 6 mit der XXXX sei geeignet, diese zu diskreditieren. Entgegen der Behauptung seitens der belangten Behörde, zeige sich bereits durch die infolge der Veröffentlichung auf der Y-Website gegen die dort angeführten Vereine deutlich das Gefährdungspotential für die BF1 bis 10 selbst. Davon abgesehen sei es aber notorisch, dass durch die Veröffentlichung der Behauptung einer Nähe zur XXXX bzw. auch allgemein XXXX durch die XXXX des Y-Projekts den Vereinsfunktionären und -mitgliedern unmittelbare gesellschaftliche, soziale und berufliche Nachteile drohen würden.Selbst unter der Annahme, dass die Verarbeitung personenbezogener Daten zu wissenschaftlichen Forschungszwecken privilegiert sein könnte, so würden doch weiterhin die Grundsätze der Datenminimierung (Artikel 5, Absatz eins, Litera c, DSGVO) sowie der Verhältnismäßigkeit (Paragraph eins, Absatz 2, letzter Satz DSG) gelten. Es sei in Bezug auf die BF7 bis 10 nicht offengelegt worden, dass es sich hierbei auch um personenbezogene Daten handle. Der behauptete wissenschaftliche Zweck der Datenverarbeitung erweise sich bei näherer Betrachtung als nicht vorliegend. Zudem seien die in Rede stehenden Daten überschießend verarbeitet worden. Die auch der DSGVO immanenten Verhältnismäßigkeitsprüfung falle klar zu Gunsten der BF7 bis 10 aus, insbesondere habe die belangte Behörde hierbei übersehen, dass durch die Privatanschriften in den höchstpersönlichen Lebensbereich der Betroffenen eingegriffen worden sei, der jedenfalls das Leben in und mit der Familie erfasse, was den Kernbereich der geschützten Privatsphäre darstelle. Die DSB differenziere hier auch nicht zwischen den einzelnen Verarbeitungen. Den grund- und unionsrechtlichen Vorgaben sei mit der Veröffentlichung auf der Website jedenfalls nicht entsprochen worden, weswegen durch die Verarbeitung der personenbezogenen Daten die Grundprinzipien der DSGVO und damit auch des Grundrechts auf Geheimhaltung verletzt worden seien, es sei auch kein Zulässigkeitstatbestand der DSGVO erfüllt. Die Privilegierung der Datenverarbeitung für die im öffentlichen Interesse gelegene wissenschaftliche Forschung, Statistik und Archivierung gemäß Paragraph 7, DSG sei gegenständlich aus mehreren – näher ausgeführten - Gründen nicht einschlägig. Die Veröffentlichung der Daten auf der Y-Website entspreche auch nicht den Vorgaben nach Paragraph 2 d, FOG. Im Rahmen des Y-Projekts seien jedenfalls personenbezogene Daten betreffend die BF1 bis 6 veröffentlicht und damit verarbeitet worden. Zudem seien durch die Verknüpfung von personenbezogenen Daten zusammen mit der Anreicherung durch weitere recherchierte Daten im Y-Projekt im Ergebnis neue Daten und Informationen generiert worden. Die auf Seite römisch 40 der Beschreibung des Projekts angeführten Argumente zur Erforderlichkeit der Veröffentlichung der Adressen seien nicht überzeugend. Der Mehrwert der Veröffentlichung der Daten der BF1 bis 10 sei auch am Maßstab eines in der Forschung verorteten objektiven Dritten nicht zu erkennen. Zudem zeige auch ein Blick in die Detailbeschreibungen im Y-Projekt die nur mangelhaft verwendeten wissenschaftlichen Standards auf. Der wesentliche Grundsatz nach Artikel 5, Absatz eins, Litera a, DSGVO müsse auch auf juristische Personen angewendet werden, womit auch eine Information erfolgen müsse. Vor diesem Hintergrund könne somit der Eingriff auf Basis dieser Grundfreiheit nicht gerechtfertigt werden. Die Veröffentlichung sei auch in Bezug auf die Verletzung des Grundsatzes der Datenminimierung unzulässig. Ebenso wenig vermöge das behauptete Recht auf freie Meinungsäußerung nach Artikel 10, EMRK im gegebenen Fall zu überzeugen. Die Zuspitzung politischer Einschätzungen unter dem Deckmantel der Publikation von Forschungsergebnissen könne nicht als Beitrag zu einer Debatte von allgemeinem Interesse gewertet werden. Auch die Auswahl der Informationen und Herstellung einer Verbindung der BF1 bis 6 mit der römisch 40 sei geeignet, diese zu diskreditieren. Entgegen der Behauptung seitens der belangten Behörde, zeige sich bereits durch die infolge der Veröffentlichung auf der Y-Website gegen die dort angeführten Vereine deutlich das Gefährdungspotential für die BF1 bis 10 selbst. Davon abgesehen sei es aber notorisch, dass durch die Veröffentlichung der Behauptung einer Nähe zur römisch 40 bzw. auch allgemein römisch 40 durch die römisch 40 des Y-Projekts den Vereinsfunktionären und -mitgliedern unmittelbare gesellschaftliche, soziale und berufliche Nachteile drohen würden.
67. Gegen Spruchpunkt
68. des gegenständlichen Bescheides erhoben die BF11 und 12 im Wege ihrer rechtsanwaltlichen Vertretung fristgerecht Beschwerde an das Bundesverwaltungsgericht und brachten zusammengefasst vor, zunächst nicht weiter in Abrede zu stellen, dass der MB als auch die BF12 gemeinsame Verantwortliche für das Y-Projekt seien und Zwecke und Mittel der Verarbeitung im Rahmen der genannten Kooperation gemeinsam festlägen. Die belangte Behörde habe den von ihr festgestellten Sachverhalt in rechtlicher Hinsicht nicht richtig beurteilt, da sie den BF11 als Verantwortlichen iSd Art. 4 Z 7 DSGVO qualifiziert habe. Neben dem BF11 als Universitätsprofessor könne sich ebenso jede andere Person auf dieses Grundrecht berufen, welche wissenschaftliche Forschung betreibe. Gebunden werde durch Art. 17 StGG nämlich nur der Staat, d.h. der Gesetzgeber einerseits und die Vollziehung andererseits, Art 17 StGG schütze demnach nur vor staatlichen Eingriffen, aber nicht vor arbeitsrechtlichen Weisungen. Nach § 97 Universitätsgesetz (UG) stünden Universitätsprofessoren in einem Arbeitsverhältnis zur Universität, es liege somit auch zwischen dem BF11 und der BF12 eine privatrechtliche Beziehung vor. Wiewohl es sich bei der BF12 um eine öffentliche Universität handle, die in bestimmten Bereichen auch hoheitlich tätig werde, wäre es jedoch sachlich ungerechtfertigt deshalb der BF12 zu unterstellen, dass jede Arbeitsanweisung an ihre Mitarbeiter einen potenziell staatlichen Eingriff bedeuten würde. Eingriffe würden nur dann einen Verstoß gegen die Wissenschaftsfreiheit darstellen, wenn sie einzig in der Intention erlassen würden, die Wissenschaft zu beschränken. Dass Art. 17 StGG Drittwirkungen entfalten könne und somit, wie bspw. § 1 DSG, auch privatrechtliches Handeln beschränke, sei in der Judikatur so noch nicht bestätigt worden. Es könnten sehr wohl entsprechende Vorgaben für Datenverarbeitungen den Universitätsprofessoren auferlegt werden. Eine entsprechende Entwicklungsfreiheit für die Forschung sei historisch bedingt und der Entwicklung der Forschung zuträglich, jedoch stünde einzelnen Weisungen kein Grundrecht entgegen.
69. Gegen Spruchpunkt
70. des gegenständlichen Bescheides erhoben die BF11 und 12 im Wege ihrer rechtsanwaltlichen Vertretung fristgerecht Beschwerde an das Bundesverwaltungsgericht und brachten zusammengefasst vor, zunächst nicht weiter in Abrede zu stellen, dass der MB als auch die BF12 gemeinsame Verantwortliche für das Y-Projekt seien und Zwecke und Mittel der Verarbeitung im Rahmen der genannten Kooperation gemeinsam festlägen. Die belangte Behörde habe den von ihr festgestellten Sachverhalt in rechtlicher Hinsicht nicht richtig beurteilt, da sie den BF11 als Verantwortlichen iSd Artikel 4, Ziffer 7, DSGVO qualifiziert habe. Neben dem BF11 als Universitätsprofessor könne sich ebenso jede andere Person auf dieses Grundrecht berufen, welche wissenschaftliche Forschung betreibe. Gebunden werde durch Artikel 17, StGG nämlich nur der Staat, d.h. der Gesetzgeber einerseits und die Vollziehung andererseits, Artikel 17, StGG schütze demnach nur vor staatlichen Eingriffen, aber nicht vor arbeitsrechtlichen Weisungen. Nach Paragraph 97, Universitätsgesetz (UG) stünden Universitätsprofessoren in einem Arbeitsverhältnis zur Universität, es liege somit auch zwischen dem BF11 und der BF12 eine privatrechtliche Beziehung vor. Wiewohl es sich bei der BF12 um eine öffentliche Universität handle, die in bestimmten Bereichen auch hoheitlich tätig werde, wäre es jedoch sachlich ungerechtfertigt deshalb der BF12 zu unterstellen, dass jede Arbeitsanweisung an ihre Mitarbeiter einen potenziell staatlichen Eingriff bedeuten würde. Eingriffe würden nur dann einen Verstoß gegen die Wissenschaftsfreiheit darstellen, wenn sie einzig in der Intention erlassen würden, die Wissenschaft zu beschränken. Dass Artikel 17, StGG Drittwirkungen entfalten könne und somit, wie bspw. Paragraph eins, DSG, auch privatrechtliches Handeln beschränke, sei in der Judikatur so noch nicht bestätigt worden. Es könnten sehr wohl entsprechende Vorgaben für Datenverarbeitungen den Universitätsprofessoren auferlegt werden. Eine entsprechende Entwicklungsfreiheit für die Forschung sei historisch bedingt und der Entwicklung der Forschung zuträglich, jedoch stünde einzelnen Weisungen kein Grundrecht entgegen. Soweit die belangte Behörde vermeine, dem BF11 könne keine „Privilegierung“ im Sinne des Art 29 DSGVO (
71. HS) zukommen, da dieser die Datenverarbeitung auch nicht aufgrund einer gesetzlichen Verpflichtung ausübe, da eine solche aus § 97 UG nicht ableitbar sei, so bestehe für ihn eine entsprechende Weisungsgebundenheit bei der Datenverarbeitung. Fest stehe im Übrigen, dass eine konkrete Definition der Forschungsthematik oder Methodik und der damit einhergehenden Datenverarbeitungen Art 17 StGG widersprechen würden. Telos des Art 29 DSGVO (letzter HS) sei, die Weisung durch eine gesetzliche Verpflichtung zu ersetzen. Die belangte Behörde hätte feststellen müssen, dass der BF11 schlichtweg zu keinem Zeitpunkt im eigenen Namen oder auf eigene Rechnung im Zusammenhang mit der gegenständlichen Datenverarbeitung gehandelt habe. Er sei fest in die Strukturen der BF12 eingebunden und zwar sowohl in fachlicher als auch in organisatorischer Hinsicht, feststellungsgemäß habe er das Forschungsprojekt in seiner Rolle als Universitätsprofessor bei der BF12 betreut. Sodann hätte die belangte Behörde die Systematik des UG in ihre Beurteilung einfließen lassen müssen, insofern bestehe schon ex lege (§ 3 Z 1 UG) eine ausschließliche datenschutzrechtliche Verantwortlichkeit der BF2 für Forschungsprojekte, welche von dieser betrieben würden. Jegliche (an)leitende Tätigkeit der Universitätsprofessoren werde dabei in Vollziehung der gesetzlich übertragenen Aufgaben für die BF12 durchgeführt. Zusammengefasst liege jedenfalls eine Weisungsgebundenheit des BF11 gegenüber der BF12 vor. Selbst im Falle der Annahme, der BF11 sei nicht weisungsgebunden, liege dennoch eine gesetzliche Verpflichtung zur Datenverarbeitung vor, weshalb der BF11 der BF12 nach Art 29 DSGVO zuzurechnen sei und die BF12 (im Verhältnis zum BF11) alleinige datenschutzrechtliche Verantwortliche sei. Soweit die belangte Behörde vermeine, dem BF11 könne keine „Privilegierung“ im Sinne des Artikel 29, DSGVO (
72. HS) zukommen, da dieser die Datenverarbeitung auch nicht aufgrund einer gesetzlichen Verpflichtung ausübe, da eine solche aus Paragraph 97, UG nicht ableitbar sei, so bestehe für ihn eine entsprechende Weisungsgebundenheit bei der Datenverarbeitung. Fest stehe im Übrigen, dass eine konkrete Definition der Forschungsthematik oder Methodik und der damit einhergehenden Datenverarbeitungen Artikel 17, StGG widersprechen würden. Telos des Artikel 29, DSGVO (letzter HS) sei, die Weisung durch eine gesetzliche Verpflichtung zu ersetzen. Die belangte Behörde hätte feststellen müssen, dass der BF11 schlichtweg zu keinem Zeitpunkt im eigenen Namen oder auf eigene Rechnung im Zusammenhang mit der gegenständlichen Datenverarbeitung gehandelt habe. Er sei fest in die Strukturen der BF12 eingebunden und zwar sowohl in fachlicher als auch in organisatorischer Hinsicht, feststellungsgemäß habe er das Forschungsprojekt in seiner Rolle als Universitätsprofessor bei der BF12 betreut. Sodann hätte die belangte Behörde die Systematik des UG in ihre Beurteilung einfließen lassen müssen, insofern bestehe schon ex lege (Paragraph 3, Ziffer eins, UG) eine ausschließliche datenschutzrechtliche Verantwortlichkeit der BF2 für Forschungsprojekte, welche von dieser betrieben würden. Jegliche (an)leitende Tätigkeit der Universitätsprofessoren werde dabei in Vollziehung der gesetzlich übertragenen Aufgaben für die BF12 durchgeführt. Zusammengefasst liege jedenfalls eine Weisungsgebundenheit des BF11 gegenüber der BF12 vor. Selbst im Falle der Annahme, der BF11 sei nicht weisungsgebunden, liege dennoch eine gesetzliche Verpflichtung zur Datenverarbeitung vor, weshalb der BF11 der BF12 nach Artikel 29, DSGVO zuzurechnen sei und die BF12 (im Verhältnis zum BF11) alleinige datenschutzrechtliche Verantwortliche sei.
73. Die belangte Behörde legte die Beschwerden sowie den Verwaltungsakt dem Bundesverwaltungsgericht zur Entscheidung vor, ohne von der Möglichkeit einer Beschwerdevorentscheidung zu machen.
74. In Entsprechung diesbezüglicher Anträge übermittelte das Bundesverwaltungsgericht am 11.05.2022 bzw. 29.06.2022 die Beschwerde der BF11 bis 12 den BF1 bis 10 sowie die Beschwerde der BF1 bis 10, als auch jene der BF11 und 12, dem MB zur Kenntnis.
75. Der MB äußerte sich hierauf mit Schriftsatz vom 06.10.2022, worin zunächst Erläuterungen zum Hintergrund des Y-Projekts wiederholt wurden. Weiters wurde zur Rolle des MB auf das Wesentlichste zusammengefasst angeführt, dass dieser als Fördergeber das Forschungsvorhaben finanziell unterstütze, ohne aber in diesem Zusammenhang selbst Forschungstätigkeiten auszuüben oder die Forschung von den BF11 und 12 zu bestimmen. Insbesondere nehme der MB keinen Einfluss auf die Methodik, den Forschungsgegenstand und die konkret verfolgten Forschungsfragen. Im Anschluss wurden wiederum Ausführungen dazu getroffen, weshalb keine Verletzung im Recht auf Geheimhaltung und Information der BF1-10 vorliege.
76. Mit Erkenntnis des Bundesverwaltungsgerichtes vom XXXX 2023, GZ: XXXX , wurde die Beschwerde der BF1 bis 10 betreffend den Bescheid hinsichtlich des Antrages auf Akteneinsicht vom 22.02.2022, als unbegründet abgewiesen. Begründend wurde ausgeführt, dass das Interesse der BF11 und BF12 und des MB an der Geheimhaltung des F&E-Vertrages samt seinen Anlagen überwiege.
77. Mit Erkenntnis des Bundesverwaltungsgerichtes vom römisch 40 2023, GZ: römisch 40 , wurde die Beschwerde der BF1 bis 10 betreffend den Bescheid hinsichtlich des Antrages auf Akteneinsicht vom 22.02.2022, als unbegründet abgewiesen. Begründend wurde ausgeführt, dass das Interesse der BF11 und BF12 und des MB an der Geheimhaltung des F&E-Vertrages samt seinen Anlagen überwiege.
78. Aufgrund einer Verfügung des Geschäftsverteilungsausschusses vom 20.10.2023 wurde die gegenständliche Rechtssache in die nunmehr zuständige Gerichtsabteilung W214 zugewiesen, wo sie am 07.11.2023 einlangte.
79. Mit Eingabe vom 03.04.2024 stellte die BF10 einen Antrag auf Durchführung der Befragung unter Verwendung technischer Einrichtungen zur Wort- und Bildübertragung.
80. Mit Stellungnahme vom 04.04.2024 brachten die BF 1 bis 10 auf das das Wesentlichste zusammengefasst vor, dass sich die BF8 auf Dauer nicht in Österreich aufhalte und die BF7 mittlerweile auch die organschaftliche Vertretung der BF4 übernommen habe. Hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung seien die Informationen zu den BF1 bis 6 sowohl in der XXXX als auch in der Detailbeschreibung adaptiert und ergänzt worden. Im Y-Projekt würden – neben anderen Datenkategorien – politische Bewertungen der BF1 bis 6 verarbeitet, indem eine Nähe zur XXXX und implizit eine Verbindung XXXX hergestellt werde. Durch die Veröffentlichung seien schutzwürdige Interessen der BF1 bis 6 verletzt worden, dies insbesondere vor dem Hintergrund des Anspruchs auf Datensparsamkeit. Es sei kein Grund ersichtlich, warum bei einem öffentlich zugänglichen Projekt der genaue XXXX und die ZVR-Nummer veröffentlicht werden müssen.
81. Mit Stellungnahme vom 04.04.2024 brachten die BF 1 bis 10 auf das das Wesentlichste zusammengefasst vor, dass sich die BF8 auf Dauer nicht in Österreich aufhalte und die BF7 mittlerweile auch die organschaftliche Vertretung der BF4 übernommen habe. Hinsichtlich der behaupteten Verletzung im Recht auf Geheimhaltung seien die Informationen zu den BF1 bis 6 sowohl in der römisch 40 als auch in der Detailbeschreibung adaptiert und ergänzt worden. Im Y-Projekt würden – neben anderen Datenkategorien – politische Bewertungen der BF1 bis 6 verarbeitet, indem eine Nähe zur römisch 40 und implizit eine Verbindung römisch 40 hergestellt werde. Durch die Veröffentlichung seien schutzwürdige Interessen der BF1 bis 6 verletzt worden, dies insbesondere vor dem Hintergrund des Anspruchs auf Datensparsamkeit. Es sei kein Grund ersichtlich, warum bei einem öffentlich zugänglichen Projekt der genaue römisch 40 und die ZVR-Nummer veröffentlicht werden müssen.
82. In einer Stellungnahme vom 08.04.2024 verwiesen die BF11 bis 12 zunächst auf den in der Regierungsvorlage vom 20.03.2024 beschlossenen und auf die Tagesordnung des Wissenschaftsausschusses des Nationalrats am 11.04.2024 aufgenommenen § 6 Abs 9 UG 2002, wonach zwecks „Klarstellung hinsichtlich der Verantwortlichkeit im Sinne des Art. 4 Z 7 DSGVO“ ausdrücklich festgehalten werde, dass hinsichtlich der Verarbeitung personenbezogener Daten durch die Universität und der universitären Organe die Universität alleiniger Verantwortlicher im Sinne des Art 4 Z 7 DSGVO sei. Der BF11 sei weder alleiniger noch gemeinsamer Verantwortlicher im Sinne der DSGVO. Dies vor allem deshalb, weil er als Angestellter der BF12 weisungsgebunden sei. Im Folgenden wurden insoweit weitere Ausführungen zur vorgebrachten fehlenden Verantwortlichenstellung des BF11 getätigt. Weiters wurden Ausführungen dazu getroffen, weshalb eine Verletzung des Rechts auf Geheimhaltung sowie des Rechts auf Information gegenständlich nicht vorliege. Darüber hinaus sei nach einer Entscheidung des BVwG das Recht auf Beschwerde gemäß § 24 DSG auf natürliche Personen beschränkt, die Geltendmachung des subjektiven Rechts einer juristischen Person im Wege des verwaltungsbehördlichen Administrativverfahrens sei nicht vorgesehen. Deshalb sei die Beschwerde der BF1 bis 6 hinsichtlich des Spruchpunkt
83. des gegenständlichen Bescheides mangels Beschwerdelegitimation zurückzuweisen.
84. In einer Stellungnahme vom 08.04.2024 verwiesen die BF11 bis 12 zunächst auf den in der Regierungsvorlage vom 20.03.2024 beschlossenen und auf die Tagesordnung des Wissenschaftsausschusses des Nationalrats am 11.04.2024 aufgenommenen Paragraph 6, Absatz 9, UG 2002, wonach zwecks „Klarstellung hinsichtlich der Verantwortlichkeit im Sinne des Artikel 4, Ziffer 7, DSGVO“ ausdrücklich festgehalten werde, dass hinsichtlich der Verarbeitung personenbezogener Daten durch die Universität und der universitären Organe die Universität alleiniger Verantwortlicher im Sinne des Artikel 4, Ziffer 7, DSGVO sei. Der BF11 sei weder alleiniger noch gemeinsamer Verantwortlicher im Sinne der DSGVO. Dies vor allem deshalb, weil er als Angestellter der BF12 weisungsgebunden sei. Im Folgenden wurden insoweit weitere Ausführungen zur vorgebrachten fehlenden Verantwortlichenstellung des BF11 getätigt. Weiters wurden Ausführungen dazu getroffen, weshalb eine Verletzung des Rechts auf Geheimhaltung sowie des Rechts auf Information gegenständlich nicht vorliege. Darüber hinaus sei nach einer Entscheidung des BVwG das Recht auf Beschwerde gemäß Paragraph 24, DSG auf natürliche Personen beschränkt, die Geltendmachung des subjektiven Rechts einer juristischen Person im Wege des verwaltungsbehördlichen Administrativverfahrens sei nicht vorgesehen. Deshalb sei die Beschwerde der BF1 bis 6 hinsichtlich des Spruchpunkt
85. des gegenständlichen Bescheides mangels Beschwerdelegitimation zurückzuweisen.
86. Am XXXX 2024 fand eine mündliche Verhandlung vor dem Bundesverwaltungsgericht im Beisein von Beschwerdeführer:innen sowie ihrer rechtlichen Vertretungen, des MB sowie eines Vertreters der belangten Behörde statt. Im Rahmen der mündlichen Verhandlung wurde die Beschwerde der BF8, die sich im Ausland befindet, von deren Rechtsvertreter zurückgezogen.
87. Am römisch 40 2024 fand eine mündliche Verhandlung vor dem Bundesverwaltungsgericht im Beisein von Beschwerdeführer:innen sowie ihrer rechtlichen Vertretungen, des MB sowie eines Vertreters der belangten Behörde statt. Im Rahmen der mündlichen Verhandlung wurde die Beschwerde der BF8, die sich im Ausland befindet, von deren Rechtsvertreter zurückgezogen. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
88. Feststellungen:
89. Der unter Punkt I. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.
90. Der unter Punkt römisch eins. angeführte Verfahrensgang wird den Feststellungen zugrunde gelegt.
91. Insbesondere wird folgender Sachverhalt festgestellt: 2.
92. Die BF1 ist ein unter der ZVR-Zahl XXXX eingetragener Verein. Der BF9 ist ein organschaftlicher Vertreter ( XXXX vorsitzender) der BF1.2.
93. Die BF1 ist ein unter der ZVR-Zahl römisch 40 eingetragener Verein. Der BF9 ist ein organschaftlicher Vertreter ( römisch 40 vorsitzender) der BF
94. Die BF2 ist ein in XXXX unter der ZVR-Zahl XXXX eingetragener Verein. Die BF3 ist ein in XXXX unter der ZVR-Zahl XXXX eingetragener Verein, wobei die BF7 eine organschaftliche Vertreterin der BF3 ist. Die BF4 ist ein im XXXX unter der ZVR-Zahl XXXX eingetragener Verein. Die BF8 war bis zum XXXX 07.2021 eine organschaftliche Vertreterin der BF4, mittlerweile ist die BF8 ins Ausland verzogen. Seit dem XXXX 07.2021 wird diese Funktion von der BF7 wahrgenommen. Die BF5 ist ein in XXXX unter der ZVR-Zahl XXXX eingetragener Verein, wobei der BF9 deren organschaftlicher Vertreter (Vorsitzender) ist. Die BF6 ist ein in XXXX unter der ZVR-Zahl XXXX eingetragener Verein, deren organschaftliche Vertreterin ( XXXX vorsitzende) die BF10 ist. Die BF2 bis 6 sind Ableger der BF1 in den jeweiligen Bundesländern.Die BF2 ist ein in römisch 40 unter der ZVR-Zahl römisch 40 eingetragener Verein. Die BF3 ist ein in römisch 40 unter der ZVR-Zahl römisch 40 eingetragener Verein, wobei die BF7 eine organschaftliche Vertreterin der BF3 ist. Die BF4 ist ein im römisch 40 unter der ZVR-Zahl römisch 40 eingetragener Verein. Die BF8 war bis zum römisch 40 07.2021 eine organschaftliche Vertreterin der BF4, mittlerweile ist die BF8 ins Ausland verzogen. Seit dem römisch 40 07.2021 wird diese Funktion von der BF7 wahrgenommen. Die BF5 ist ein in römisch 40 unter der ZVR-Zahl römisch 40 eingetragener Verein, wobei der BF9 deren organschaftlicher Vertreter (Vorsitzender) ist. Die BF6 ist ein in römisch 40 unter der ZVR-Zahl römisch 40 eingetragener Verein, deren organschaftliche Vertreterin ( römisch 40 vorsitzende) die BF10 ist. Die BF2 bis 6 sind Ableger der BF1 in den jeweiligen Bundesländern. 2.
95. Der BF11 ist Professor für XXXX am Institut XXXX Studien der BF
96. Die BF12 ist eine öffentliche Universität.2.
97. Der BF11 ist Professor für römisch 40 am Institut römisch 40 Studien der BF
98. Die BF12 ist eine öffentliche Universität. Der MB ist ein zur wissenschaftlichen Erforschung XXXX eingerichteter Fonds. Der MB ist ein zur wissenschaftlichen Erforschung römisch 40 eingerichteter Fonds. 2.
99. Die BF1 bis 10 haben am XXXX Kenntnis von der Y-Website erlangt. 2.
100. Die BF1 bis 10 haben am römisch 40 Kenntnis von der Y-Website erlangt. 2.
101. In der Startseite dieser Website ist eine XXXX eingebettet, auf welcher XXXX angebracht sind, welche auf XXXX von XXXX Einrichtungen hinweisen. Beim XXXX , in welchem Informationen zur konkreten Adresse, dem XXXX bereitgestellt werden. Im unteren Bereich des XXXX ist ein XXXX angebracht, welcher einen Link XXXX enthält. Auf den XXXX sind XXXX abrufbar, wie (je nach Verfügbarkeit) XXXX , ihre Zuordnung zu einem XXXX , ihre XXXX , sowie ihre ZVR-Zahl. Des Weiteren wird auf der Website eine Suchfunktion für XXXX nach XXXX angeboten. Das Projekt wird seit 20 XXXX betrieben und es fanden seither auch Veröffentlichungen auf der Y-Website statt.2.
102. In der Startseite dieser Website ist eine römisch 40 eingebettet, auf welcher römisch 40 angebracht sind, welche auf römisch 40 von römisch 40 Einrichtungen hinweisen. Beim römisch 40 , in welchem Informationen zur konkreten Adresse, dem römisch 40 bereitgestellt werden. Im unteren Bereich des römisch 40 ist ein römisch 40 angebracht, welcher einen Link römisch 40 enthält. Auf den römisch 40 sind römisch 40 abrufbar, wie (je nach Verfügbarkeit) römisch 40 , ihre Zuordnung zu einem römisch 40 , ihre römisch 40 , sowie ihre ZVR-Zahl. Des Weiteren wird auf der Website eine Suchfunktion für römisch 40 nach römisch 40 angeboten. Das Projekt wird seit 20 römisch 40 betrieben und es fanden seither auch Veröffentlichungen auf der Y-Website statt. 2.
103. Ziel des Y-Projekts war und ist es, einen Überblick über die gegenwärtige XXXX Vereinslandschaft in Österreich zu geben, indem die jeweilige XXXX , die XXXX Vereine sowie deren XXXX abgerufen werden können. In weiterer Folge soll XXXX , der wissenschaftlichen Community, der XXXX sowie einer interessierten Öffentlichkeit ein Einblick in die XXXX Vereinslandschaft in Österreich geboten werden. Die Projektbeschreibung enthält in diesem Zusammenhang eine Beschreibung des Forschungsbedarfs, beinhaltet Forschungsfragen und legt Methoden zur empirischen Erforschung und Analyse der aufgeworfenen Fragestellungen auf.2.
104. Ziel des Y-Projekts war und ist es, einen Überblick über die gegenwärtige römisch 40 Vereinslandschaft in Österreich zu geben, indem die jeweilige römisch 40 , die römisch 40 Vereine sowie deren römisch 40 abgerufen werden können. In weiterer Folge soll römisch 40 , der wissenschaftlichen Community, der römisch 40 sowie einer interessierten Öffentlichkeit ein Einblick in die römisch 40 Vereinslandschaft in Österreich geboten werden. Die Projektbeschreibung enthält in diesem Zusammenhang eine Beschreibung des Forschungsbedarfs, beinhaltet Forschungsfragen und legt Methoden zur empirischen Erforschung und Analyse der aufgeworfenen Fragestellungen auf. 2.
105. Zu den BF1 bis 6 waren am XXXX bzw. XXXX unter der oben genannten Website unter anderem folgende Informationen abrufbar:2.
106. Zu den BF1 bis 6 waren am römisch 40 bzw. römisch 40 unter der oben genannten Website unter anderem folgende Informationen abrufbar: Zur BF1: Adresse am XXXX Adresse am römisch 40 E-Mail: XXXX E-Mail: römisch 40 Website: XXXX Website: römisch 40 ZVR-Zahl: XXXX ZVR-Zahl: römisch 40 Bei der Adresse XXXX handelt