{"html": "

Bei der Adresse XXXX handelt es sich um eine Büroanschrift.Bei der Adresse römisch 40 handelt es sich um eine Büroanschrift.

\n

Zur BF2:

\n

Adresse am XXXX Adresse am römisch 40 E-Mail: XXXX E-Mail: römisch 40 Website: XXXX Website: römisch 40 ZVR-Zahl: XXXX ZVR-Zahl: römisch 40 Bei der Adresse XXXX handelt es sich um eine Büroanschrift.Bei der Adresse römisch 40 handelt es sich um eine Büroanschrift.

\n

Zur BF3:

\n

Adresse am XXXX Adresse am römisch 40 Adresse am XXXX Adresse am römisch 40 ZVR-Zahl: XXXX ZVR-Zahl: römisch 40 Bei der Adresse XXXX handelt es sich zugleich um die Privatanschrift der BF7 seit XXXX 2017.Bei der Adresse römisch 40 handelt es sich zugleich um die Privatanschrift der BF7 seit römisch 40 2017.

\n

Bei der Adresse XXXX handelt es sich um die Privatanschrift der BF7 bis XXXX 2017.Bei der Adresse römisch 40 handelt es sich um die Privatanschrift der BF7 bis römisch 40 2017.

\n

Zur BF4:

\n

Adresse am XXXX Adresse am römisch 40 Adresse am XXXX Adresse am römisch 40 Adresse spätestens seit 09.02.2022: XXXX Adresse spätestens seit 09.02.2022: römisch 40 E-Mail: XXXX E-Mail: römisch 40 Website: XXXX Website: römisch 40 ZVR-Zahl: XXXX ZVR-Zahl: römisch 40 Die zum Zeitpunkt der Entscheidung der belangten Behörde vertretungsbefugte BF8 ist inzwischen im Ausland, am XXXX und am XXXX war im ZVR ihre Privatadresse ersichtlich. Die zum Zeitpunkt der Entscheidung der belangten Behörde vertretungsbefugte BF8 ist inzwischen im Ausland, am römisch 40 und am römisch 40 war im ZVR ihre Privatadresse ersichtlich.

\n

Zur BF5:

\n

Adresse am XXXX Adresse am römisch 40 Adresse am XXXX Adresse am römisch 40 E-Mail: XXXX E-Mail: römisch 40 Website: XXXX Website: römisch 40 ZVR-Zahl: XXXX ZVR-Zahl: römisch 40 Bei den Adresse XXXX handelt es sich zugleich um die Privatanschrift des BF9 bis XXXX 2021.Bei den Adresse römisch 40 handelt es sich zugleich um die Privatanschrift des BF9 bis römisch 40 2021.

\n

Bei der Adresse XXXX , handelt es sich zugleich um die Privatanschrift des BF9 bis XXXX 2017. Bei der Adresse römisch 40 , handelt es sich zugleich um die Privatanschrift des BF9 bis römisch 40 2017.

\n

Zur BF6:

\n

Adresse am XXXX Adresse am römisch 40 E-Mail: XXXX E-Mail: römisch 40 Website: XXXX Website: römisch 40 ZVR-Zahl: XXXX ZVR-Zahl: römisch 40 Bei der Adresse XXXX , handelt es sich zugleich um die Privatanschrift der BF10 seit XXXX 2006.Bei der Adresse römisch 40 , handelt es sich zugleich um die Privatanschrift der BF10 seit römisch 40 2006.

\n

Spätestens seit 09.02.2022 sind die TOP-Nummern nicht mehr ersichtlich.

\n

2.7. Der Umstand, dass es sich bei den genannten Adressen der BF3 bis 6 gleichzeitig um die Privatadressen der genannten Vereinsmitglieder handelt, lässt sich sowohl über eine (kostenlose) ZVR-Abfrage und eine mit den hieraus gewonnenen Informationen (Name der organschaftlichen Vertretung, Vereinssitz) anschließend durchgeführte ZMR-Abfrage, als auch durch ein direktes Aufsuchen der betreffenden Adressen eruieren.

\n

2.8. In XXXX wurden im Zuge des Beginns der öffentlichen Diskussionen um das Y-Projekt im Jahr 2021 Warntafeln vor XXXX aufgestellt.2.8. In römisch 40 wurden im Zuge des Beginns der öffentlichen Diskussionen um das Y-Projekt im Jahr 2021 Warntafeln vor römisch 40 aufgestellt.

\n

Im Jahr 2021 (ca. 5 bis 6 Tage, nachdem die öffentlichen Diskussionen um das Y-Projekt begannen) suchte eine fremde Person die damalige Adresse der BF5, welche zugleich die Privatadresse des BF9 war, auf, während der BF9 nicht anwesend war. Angesprochen vom Vermieter an der betreffenden Adresse, vermeinte die fremde Person sinngemäß, nur wissen zu wollen, ob die BF5 dort wirklich gemeldet sei.

\n

2.9. Bei den BF1 bis 6 wurde unter der Website jedenfalls noch zum Entscheidungszeitpunkt der belangten Behörde jeweils folgender Zusatztext angezeigt (Wiedergabe wie im Original, Formatierung nicht 1:1 wiedergegeben):

\n

XXXX römisch 40 XXXX römisch 40 XXXX römisch 40 XXXX römisch 40 XXXX römisch 40 2.9. Der BF11 leitet das Projekt des Y-Projekts und ist wesentlich in die Erarbeitung der Beschreibung der dort präsentierten Einrichtungen, einschließlich deren Veröffentlichung im Y-Projekt, sowie deren laufende Überarbeitung eingebunden.

\n

Der BF11 stellte am XXXX 04.2022 und XXXX 10.2022 Genehmigungsanträge im Hinblick auf das betreffende Projekt an die belangte Behörde.Der BF11 stellte am römisch 40 04.2022 und römisch 40 10.2022 Genehmigungsanträge im Hinblick auf das betreffende Projekt an die belangte Behörde.

\n

2.10. Zwischen der BF12 und dem MB wurde im März 2021 ein Forschungs- und Entwicklungsvertrag über das Projekt des Y-Projekts abgeschlossen. Vertragsgegenstand ist im Wesentlichen die gemeinsame Durchführung des Y-Projekts. Im genannten Vertrag werden Aufgaben der BF12 und des MB festgelegt. Dem MB obliegt laut Vertragsinhalt neben der Finanzierung des Projekts die Zurverfügungstellung von inhaltlichen Informationen sowie die Prüfung und Aktualisierung der Datenbank in Bezug auf XXXX . Tatsächlich leistete der MB ausschließlich finanzielle Förderungen, ohne hierbei Einfluss auf Datenverarbeitungen im Zusammenhang mit dem Projekt gehabt zu haben, insbesondere die Veröffentlichungen im Y-Projekt. Der Vertrag lief am XXXX 03.2023 aus.2.10. Zwischen der BF12 und dem MB wurde im März 2021 ein Forschungs- und Entwicklungsvertrag über das Projekt des Y-Projekts abgeschlossen. Vertragsgegenstand ist im Wesentlichen die gemeinsame Durchführung des Y-Projekts. Im genannten Vertrag werden Aufgaben der BF12 und des MB festgelegt. Dem MB obliegt laut Vertragsinhalt neben der Finanzierung des Projekts die Zurverfügungstellung von inhaltlichen Informationen sowie die Prüfung und Aktualisierung der Datenbank in Bezug auf römisch 40 . Tatsächlich leistete der MB ausschließlich finanzielle Förderungen, ohne hierbei Einfluss auf Datenverarbeitungen im Zusammenhang mit dem Projekt gehabt zu haben, insbesondere die Veröffentlichungen im Y-Projekt. Der Vertrag lief am römisch 40 03.2023 aus.

\n

2.11. In der unter der Y-Website abrufbaren Datenschutzerklärung, welche am XXXX 2021 bereitgestellt wurde, wird die BF12 als alleinige Verantwortliche für das Y-Projekt genannt.2.11. In der unter der Y-Website abrufbaren Datenschutzerklärung, welche am römisch 40 2021 bereitgestellt wurde, wird die BF12 als alleinige Verantwortliche für das Y-Projekt genannt.

\n
2.Beweiswürdigung:
\n

Die Feststellungen ergeben sich aus dem vorgelegten Verwaltungs- sowie den gegenständlichen Gerichtsakten, insbesondere auch aus der Niederschrift über die mündliche Verhandlung vor dem Bundesverwaltungsgericht.

\n

Im Besonderen ergeben sich die Feststellungen zu den Möglichkeiten der Eruierbarkeit der Privatadressen von Vereinsmitgliedern über die Adresse der BF3 bis 6 zum einen schon aus den Erwägungen der belangten Behörde im bekämpften Bescheid sowie den diesbezüglichen Ausführungen der BF1 bis 10 (siehe dazu weiter in der rechtlichen Beurteilung). Zur Kostenlosigkeit der ZVR-Abfrage ist auf die Internetanfrage des BMI unter der Website https://citizen.bmi.gv.at/at.gv.bmi.fnsweb-p/zvn/public/Registerauszug zu verweisen. Was die Feststellungen zum Aufstellen von Warntafeln in XXXX anbelangt, so ist auf die seitens der BF1 bis 10 vorgebrachten XXXX zu verweisen. Die Feststellungen zum Vorfall, wonach eine fremde Person die damalige Adresse des BF9 aufgesucht hat, beruht auf seinen Beschwerdeausführungen und seinen betreffenden Angaben in der mündlichen Verhandlung.

\n

Die Feststellungen zu den seitens des BF11 gestellten Genehmigungsanträgen im Hinblick auf das fallbezogene Projekt beruhen auf der Vorlage der betreffenden Anträge durch die belangte Behörde sowie den damit verbundenen Aussagen des BF11 in der mündlichen Verhandlung. Dass der MB in Zusammenhang mit dem gegenständlichen Projekt keinen Einfluss – entgegen dem Wortlaut des diesbezüglichen F&E-Vertrages mit der BF12 – auf damit zusammenhängende Datenverarbeitungen, insbesondere die Veröffentlichungen im Y-Projekt, hatte, sondern lediglich als Fördergeber involviert war, folgt aus seinen dementsprechenden plausiblen Ausführungen in der mündlichen Verhandlung sowie mit den damit korrespondierenden Angaben des BF11 und der BF12 (vgl. dazu weiter in der rechtlichen Beurteilung).

\n

Hinsichtlich des Ablaufs der Gültigkeitsdauer des F&E--Vertrages ist auf die entsprechende Bestimmung im Vertrag zu verweisen.Im Besonderen ergeben sich die Feststellungen zu den Möglichkeiten der Eruierbarkeit der Privatadressen von Vereinsmitgliedern über die Adresse der BF3 bis 6 zum einen schon aus den Erwägungen der belangten Behörde im bekämpften Bescheid sowie den diesbezüglichen Ausführungen der BF1 bis 10 (siehe dazu weiter in der rechtlichen Beurteilung). Zur Kostenlosigkeit der ZVR-Abfrage ist auf die Internetanfrage des BMI unter der Website https://citizen.bmi.gv.at/at.gv.bmi.fnsweb-p/zvn/public/Registerauszug zu verweisen. Was die Feststellungen zum Aufstellen von Warntafeln in römisch 40 anbelangt, so ist auf die seitens der BF1 bis 10 vorgebrachten römisch 40 zu verweisen.

\n

Die Feststellungen zum Vorfall, wonach eine fremde Person die damalige Adresse des BF9 aufgesucht hat, beruht auf seinen Beschwerdeausführungen und seinen betreffenden Angaben in der mündlichen Verhandlung. Die Feststellungen zu den seitens des BF11 gestellten Genehmigungsanträgen im Hinblick auf das fallbezogene Projekt beruhen auf der Vorlage der betreffenden Anträge durch die belangte Behörde sowie den damit verbundenen Aussagen des BF11 in der mündlichen Verhandlung. Dass der MB in Zusammenhang mit dem gegenständlichen Projekt keinen Einfluss – entgegen dem Wortlaut des diesbezüglichen F&E-Vertrages mit der BF12 – auf damit zusammenhängende Datenverarbeitungen, insbesondere die Veröffentlichungen im Y-Projekt, hatte, sondern lediglich als Fördergeber involviert war, folgt aus seinen dementsprechenden plausiblen Ausführungen in der mündlichen Verhandlung sowie mit den damit korrespondierenden Angaben des BF11 und der BF12 vergleiche dazu weiter in der rechtlichen Beurteilung).

\n

Hinsichtlich des Ablaufs der Gültigkeitsdauer des F&E--Vertrages ist auf die entsprechende Bestimmung im Vertrag zu verweisen.

\n
3.Rechtliche Beurteilung:
\n

3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit. 3.1. Gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

\n

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß Paragraph 27, Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

\n

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.). Gemäß Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

\n

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles sowie anderer näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.Gemäß Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles sowie anderer näher genannte (im vorliegenden Fall nicht relevante) Gesetze und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

\n

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist. Gemäß Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist. Gemäß Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

\n

Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. Gemäß Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

\n

3.2. Zu den Prozessvoraussetzungen:

\n

Die Beschwerde wurde gemäß § 7 Abs. 4 VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.Die Beschwerde wurde gemäß Paragraph 7, Absatz 4, VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.

\n

3.3. In der Sache:

\n

3.3.1. Rechtsgrundlagen:

\n

Die relevanten Bestimmungen lauten:

\n

Art. 4 Z 1 und Z 7 DSGVO:Artikel 4, Ziffer eins und Ziffer 7, DSGVO:

\n

Begriffsbestimmungen Art. 4. Im Sinne dieser Verordnung bezeichnet der Ausdruck: Artikel 4, Im Sinne dieser Verordnung bezeichnet der Ausdruck:

\n
1.„personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
\n
7.„Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
\n

Art. 5 DSGVO:Artikel 5, DSGVO:

\n

Grundsätze für die Verarbeitung personenbezogener Daten Art. 5. (1) Personenbezogene Daten müssenArtikel 5, (1) Personenbezogene Daten müssen

\n
a)auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
\n
b)für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
\n
c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
\n
d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
\n
e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
\n
f)in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
\n
(2)Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
\n

Art. 9 DSGVO:Artikel 9, DSGVO:

\n

Art. 9. (1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.Artikel 9, (1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

\n
(2)Absatz 1 gilt nicht in folgenden Fällen: a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden, b) die Verarbeitung ist erforderlich, damit der Verantwortliche oder die betroffene Person die ihm bzw. ihr aus dem Arbeitsrecht und dem Recht der sozialen Sicherheit und des Sozialschutzes erwachsenden Rechte ausüben und seinen bzw. ihren diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht oder dem Recht der Mitgliedstaaten oder einer Kollektivvereinbarung nach dem Recht der Mitgliedstaaten, das geeignete Garantien für die Grundrechte und die Interessen der betroffenen Person vorsieht, zulässig ist, c) die Verarbeitung ist zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person erforderlich und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben, d) die Verarbeitung erfolgt auf der Grundlage geeigneter Garantien durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht im Rahmen ihrer rechtmäßigen Tätigkeiten und unter der Voraussetzung, dass sich die Verarbeitung ausschließlich auf die Mitglieder oder ehemalige Mitglieder der Organisation oder auf Personen, die im Zusammenhang mit deren Tätigkeitszweck regelmäßige Kontakte mit ihr unterhalten, bezieht und die personenbezogenen Daten nicht ohne Einwilligung der betroffenen Personen nach außen offengelegt werden, e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat, f) die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder bei Handlungen der Gerichte im Rahmen ihrer justiziellen Tätigkeit erforderlich, g) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, aus Gründen eines erheblichen öffentlichen Interesses erforderlich, h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,
\n
i)die Verarbeitung ist aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vorsieht, erforderlich, oder j) die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.
\n
(3)Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.
\n
(4)Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.
\n

Art. 13 DSGVO:Artikel 13, DSGVO:

\n

Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person Art. 13. (1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:Artikel 13, (1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

\n
a)den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
\n
b)gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
\n
c)die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
\n
d)wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
\n
e)gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
\n
f)gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
\n
(2)Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:
\n
a)die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
\n
b)das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
\n
c)wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
\n
d)das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
\n
e)ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
\n
f)das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
\n
(3)Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
\n
(4)Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.
\n

Art. 14 DSGVO:Artikel 14, DSGVO:

\n

Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden Art. 14. (1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit:Artikel 14, (1) Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person Folgendes mit: a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters; b) zusätzlich die Kontaktdaten des Datenschutzbeauftragten; c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung; d) die Kategorien personenbezogener Daten, die verarbeitet werden; e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten; f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an einen Empfänger in einem Drittland oder einer internationalen Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.

\n
(2)Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten: a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; b) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden; c) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit; d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird; e) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde; f) aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen; g) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
\n
(3)Der Verantwortliche erteilt die Informationen gemäß den Absätzen 1 und 2 a) unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats, b) falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder, c) falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.
\n
(4)Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
\n
(5)Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit a) die betroffene Person bereits über die Informationen verfügt, b) die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt In diesen Fällen ergreift der Verantwortliche geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person, einschließlich der Bereitstellung dieser Informationen für die Öffentlichkeit, c) die Erlangung oder Offenlegung durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen der Verantwortliche unterliegt und die geeignete Maßnahmen zum Schutz der berechtigten Interessen der betroffenen Person vorsehen, ausdrücklich geregelt ist oder d) die personenbezogenen Daten gemäß dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.
\n

Art. 29 DSGVO: Artikel 29, DSGVO:

\n

Verarbeitung unter Aufsicht des Verantwortlichen oder des Auftragsverarbeiters Art. 29. Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.Artikel 29, Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.

\n

Art. 51 Abs. 1 DSGVO:Artikel 51, Absatz eins, DSGVO:

\n

Aufsichtsbehörde Art. 51. (1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden „Aufsichtsbehörde“).Artikel 51, (1) Jeder Mitgliedstaat sieht vor, dass eine oder mehrere unabhängige Behörden für die Überwachung der Anwendung dieser Verordnung zuständig sind, damit die Grundrechte und Grundfreiheiten natürlicher Personen bei der Verarbeitung geschützt werden und der freie Verkehr personenbezogener Daten in der Union erleichtert wird (im Folgenden „Aufsichtsbehörde“).

\n

Art. 57 Abs. 1 lit. f DSGVO lautet:Artikel 57, Absatz eins, Litera f, DSGVO lautet:

\n

Aufgaben Art. 57. (1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem HoheitsgebietArtikel 57, (1) Unbeschadet anderer in dieser Verordnung dargelegter Aufgaben muss jede Aufsichtsbehörde in ihrem Hoheitsgebiet f) sich mit Beschwerden einer betroffenen Person oder Beschwerden einer Stelle, einer Organisation oder eines Verbandes gemäß Artikel 80 befassen, den Gegenstand der Beschwerde in angemessenem Umfang untersuchen und den Beschwerdeführer innerhalb einer angemessenen Frist über den Fortgang und das Ergebnis der Untersuchung unterrichten, insbesondere, wenn eine weitere Untersuchung oder Koordinierung mit einer anderen Aufsichtsbehörde notwendig ist;

\n

Art. 77 Abs. 1 DSGVO:Artikel 77, Absatz eins, DSGVO:

\n

Recht auf Beschwerde bei einer Aufsichtsbehörde Art. 77. (1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.Artikel 77, (1) Jede betroffene Person hat unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn die betroffene Person der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.

\n

Art 85 DSGVO:Artikel 85, DSGVO:

\n

Verarbeitung und Freiheit der Meinungsäußerung und Informationsfreiheit Art. 85. (1) Die Mitgliedstaaten bringen durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten gemäß dieser Verordnung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang.Artikel 85, (1) Die Mitgliedstaaten bringen durch Rechtsvorschriften das Recht auf den Schutz personenbezogener Daten gemäß dieser Verordnung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang.

\n
(2)Für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, sehen die Mitgliedstaaten Abweichungen oder Ausnahmen von Kapitel II (Grundsätze), Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) vor, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.(2) Für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, sehen die Mitgliedstaaten Abweichungen oder Ausnahmen von Kapitel römisch zwei (Grundsätze), Kapitel römisch drei (Rechte der betroffenen Person), Kapitel römisch vier (Verantwortlicher und Auftragsverarbeiter), Kapitel römisch fünf (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel römisch sechs (Unabhängige Aufsichtsbehörden), Kapitel römisch sieben (Zusammenarbeit und Kohärenz) und Kapitel römisch neun (Vorschriften für besondere Verarbeitungssituationen) vor, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.
\n
(3)Jeder Mitgliedstaat teilt der Kommission die Rechtsvorschriften, die er aufgrund von Absatz 2 erlassen hat, sowie unverzüglich alle späteren Änderungsgesetze oder Änderungen dieser Vorschriften mit. § 1 Abs. 1 und 2 DSG:Paragraph eins, Absatz eins und 2 DSG: § 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Paragraph eins, (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
\n
(2)Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen.
\n

Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), Bundesgesetzblatt Nr. 210 aus 1958,, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen.

\n

Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden. § 7 DSG:Paragraph 7, DSG:

\n

Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke § 7. (1) Für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, die keine personenbezogenen Ergebnisse zum Ziel haben, darf der Verantwortliche alle personenbezogenen Daten verarbeiten, dieParagraph 7, (1) Für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, die keine personenbezogenen Ergebnisse zum Ziel haben, darf der Verantwortliche alle personenbezogenen Daten verarbeiten, die 1. öffentlich zugänglich sind, 2. er für andere Untersuchungen oder auch andere Zwecke zulässigerweise ermittelt hat oder 3. für ihn pseudonymisierte personenbezogene Daten sind und der Verantwortliche die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann.

\n
(2)Bei Datenverarbeitungen für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, die nicht unter Abs. 1 fallen, dürfen personenbezogene Daten nur(2) Bei Datenverarbeitungen für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, die nicht unter Absatz eins, fallen, dürfen personenbezogene Daten nur 1. gemäß besonderen gesetzlichen Vorschriften, 2. mit Einwilligung der betroffenen Person oder 3. mit Genehmigung der Datenschutzbehörde gemäß Abs. 33. mit Genehmigung der Datenschutzbehörde gemäß Absatz 3 verarbeitet werden.
\n
(3)Eine Genehmigung der Datenschutzbehörde für die Verarbeitung von personenbezogenen Daten für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke ist auf Antrag des Verantwortlichen der Untersuchung zu erteilen, wenn 1. die Einholung der Einwilligung der betroffenen Person mangels ihrer Erreichbarkeit unmöglich ist oder sonst einen unverhältnismäßigen Aufwand bedeutet, 2. ein öffentliches Interesse an der beantragten Verarbeitung besteht und 3. die fachliche Eignung des Verantwortlichen glaubhaft gemacht wird.
\n

Sollen besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ermittelt werden, muss ein wichtiges öffentliches Interesse an der Untersuchung vorliegen; weiters muss gewährleistet sein, dass die personenbezogenen Daten beim Verantwortlichen der Untersuchung nur von Personen verarbeitet werden, die hinsichtlich des Gegenstandes der Untersuchung einer gesetzlichen Verschwiegenheitspflicht unterliegen oder deren diesbezügliche Verlässlichkeit sonst glaubhaft ist. Die Datenschutzbehörde hat die Genehmigung an die Erfüllung von Bedingungen und Auflagen zu knüpfen, soweit dies zur Wahrung der schutzwürdigen Interessen der betroffenen Person notwendig ist.Sollen besondere Kategorien personenbezogener Daten (Artikel 9, DSGVO) ermittelt werden, muss ein wichtiges öffentliches Interesse an der Untersuchung vorliegen; weiters muss gewährleistet sein, dass die personenbezogenen Daten beim Verantwortlichen der Untersuchung nur von Personen verarbeitet werden, die hinsichtlich des Gegenstandes der Untersuchung einer gesetzlichen Verschwiegenheitspflicht unterliegen oder deren diesbezügliche Verlässlichkeit sonst glaubhaft ist. Die Datenschutzbehörde hat die Genehmigung an die Erfüllung von Bedingungen und Auflagen zu knüpfen, soweit dies zur Wahrung der schutzwürdigen Interessen der betroffenen Person notwendig ist.

\n
(4)Einem Antrag nach Abs. 3 ist jedenfalls eine vom Verfügungsbefugten über die Datenbestände, aus denen die personenbezogenen Daten ermittelt werden sollen, unterfertigte Erklärung anzuschließen, dass er dem Verantwortlichen die Datenbestände für die Untersuchung zur Verfügung stellt. Anstelle dieser Erklärung kann auch ein diese Erklärung ersetzender Exekutionstitel (§ 367 Abs. 1 der Exekutionsordnung – EO, RGBl. Nr. 79/1896) vorgelegt werden.(4) Einem Antrag nach Absatz 3, ist jedenfalls eine vom Verfügungsbefugten über die Datenbestände, aus denen die personenbezogenen Daten ermittelt werden sollen, unterfertigte Erklärung anzuschließen, dass er dem Verantwortlichen die Datenbestände für die Untersuchung zur Verfügung stellt. Anstelle dieser Erklärung kann auch ein diese Erklärung ersetzender Exekutionstitel (Paragraph 367, Absatz eins, der Exekutionsordnung – EO, RGBl. Nr. 79 aus 1896,) vorgelegt werden.
\n
(5)Auch in jenen Fällen, in welchen die Verarbeitung von personenbezogenen Daten für Zwecke der wissenschaftlichen Forschung oder Statistik in personenbezogener Form zulässig ist, ist der Personenbezug unverzüglich zu verschlüsseln, wenn in einzelnen Phasen der wissenschaftlichen oder statistischen Arbeit mit personenbezogenen Daten gemäß Abs. 1 Z 3 das Auslangen gefunden werden kann. Sofern gesetzlich nicht ausdrücklich anderes vorgesehen ist, ist der Personenbezug der Daten gänzlich zu beseitigen, sobald er für die wissenschaftliche oder statistische Arbeit nicht mehr notwendig ist.(5) Auch in jenen Fällen, in welchen die Verarbeitung von personenbezogenen Daten für Zwecke der wissenschaftlichen Forschung oder Statistik in personenbezogener Form zulässig ist, ist der Personenbezug unverzüglich zu verschlüsseln, wenn in einzelnen Phasen der wissenschaftlichen oder statistischen Arbeit mit personenbezogenen Daten gemäß Absatz eins, Ziffer 3, das Auslangen gefunden werden kann. Sofern gesetzlich nicht ausdrücklich anderes vorgesehen ist, ist der Personenbezug der Daten gänzlich zu beseitigen, sobald er für die wissenschaftliche oder statistische Arbeit nicht mehr notwendig ist.
\n
(6)Rechtliche Beschränkungen der Zulässigkeit der Benützung von personenbezogenen Daten aus anderen, insbesondere urheberrechtlichen Gründen, bleiben unberührt. § 9 Abs. 1 DSG:Paragraph 9, Absatz eins, DSG:
\n

Freiheit der Meinungsäußerung und Informationsfreiheit § 9. (1) Auf die Verarbeitung von personenbezogenen Daten durch Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes im Sinne des Mediengesetzes – MedienG, BGBl. Nr. 314/1981, zu journalistischen Zwecken des Medienunternehmens oder Mediendienstes finden die Bestimmungen dieses Bundesgesetzes sowie von der DSGVO die Kapitel II (Grundsätze), III (Rechte der betroffenen Person), IV (Verantwortlicher und Auftragsverarbeiter), V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), VI (Unabhängige Aufsichtsbehörden), VII (Zusammenarbeit und Kohärenz) und IX (Vorschriften für besondere Verarbeitungssituationen) keine Anwendung.

\n

Die Datenschutzbehörde hat bei Ausübung ihrer Befugnisse gegenüber den im ersten Satz genannten Personen den Schutz des Redaktionsgeheimnisses (§ 31 MedienG) zu beachten.Paragraph 9, (1) Auf die Verarbeitung von personenbezogenen Daten durch Medieninhaber, Herausgeber, Medienmitarbeiter und Arbeitnehmer eines Medienunternehmens oder Mediendienstes im Sinne des Mediengesetzes – MedienG, Bundesgesetzblatt Nr. 314 aus 1981,, zu journalistischen Zwecken des Medienunternehmens oder Mediendienstes finden die Bestimmungen dieses Bundesgesetzes sowie von der DSGVO die Kapitel römisch zwei (Grundsätze), römisch drei (Rechte der betroffenen Person), römisch vier (Verantwortlicher und Auftragsverarbeiter), römisch fünf (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), römisch sechs (Unabhängige Aufsichtsbehörden), römisch sieben (Zusammenarbeit und Kohärenz) und römisch neun (Vorschriften für besondere Verarbeitungssituationen) keine Anwendung.

\n

Die Datenschutzbehörde hat bei Ausübung ihrer Befugnisse gegenüber den im ersten Satz genannten Personen den Schutz des Redaktionsgeheimnisses (Paragraph 31, MedienG) zu beachten. § 24 Abs. 1 und 5 DSG:Paragraph 24, Absatz eins und 5 DSG: § 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.Paragraph 24, (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.

\n
(5)Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.
\n

Art. 14 StGG:Artikel 14, StGG:

\n

Artikel 14. Die volle Glaubens- und Gewissensfreiheit ist Jedermann gewährleistet.

\n

Der Genuß der bürgerlichen und politischen Rechte ist von dem Religionsbekenntnisse unabhängig; doch darf den staatsbürgerlichen Pflichten durch das Religionsbekenntniß kein Abbruch geschehen.

\n

Niemand kann zu einer kirchlichen Handlung oder zur Theilnahme an einer kirchlichen Feierlichkeit gezwungen werden, in sofern er nicht der nach dem Gesetze hiezu berechtigten Gewalt eines Anderen untersteht.

\n

Art. 17 StGG:Artikel 17, StGG:

\n

Artikel 17. Die Wissenschaft und ihre Lehre ist frei.

\n

Unterrichts- und Erziehungsanstalten zu gründen und an solchen Unterricht zu ertheilen, ist jeder Staatsbürger berechtigt, der seine Befähigung hiezu in gesetzlicher Weise nachgewiesen hat.

\n

Der häusliche Unterricht unterliegt keiner solchen Beschränkung.

\n

Für den Religionsunterricht in den Schulen ist von der betreffenden Kirche oder Religionsgesellschaft Sorge zu tragen.

\n

Dem Staate steht rücksichtlich des gesammten Unterrichts- und Erziehungswesens das Recht der obersten Leitung und Aufsicht zu.

\n

Art. 81c B-VG:Artikel 81 c, B-VG:

\n
6.Universitäten Artikel 81c. (1) Die öffentlichen Universitäten sind Stätten freier wissenschaftlicher Forschung, Lehre und Erschließung der Künste. Sie handeln im Rahmen der Gesetze autonom und können Satzungen erlassen. Die Mitglieder universitärer Kollegialorgane sind weisungsfrei.
\n
(2)Bundesgesetzlich kann vorgesehen werden, dass die Tätigkeit an der Universität sowie die Mitwirkung in Organen der Universität und der Studierendenvertretung von Personen, die nicht die österreichische Staatsbürgerschaft besitzen, zulässig ist. § 97 Abs. 1 UG:Paragraph 97, Absatz eins, UG:
\n

Universitätsprofessorinnen und Universitätsprofessoren § 97. (1) Die Universitätsprofessorinnen und Universitätsprofessoren sind für die Forschung oder die Entwicklung und Erschließung der Künste sowie für die Lehre in ihrem Fachgebiet verantwortlich und stehen in einem befristeten oder unbefristeten Arbeitsverhältnis zur Universität. Sie sind Vollzeit- oder Teilzeitbeschäftigte.Paragraph 97, (1) Die Universitätsprofessorinnen und Universitätsprofessoren sind für die Forschung oder die Entwicklung und Erschließung der Künste sowie für die Lehre in ihrem Fachgebiet verantwortlich und stehen in einem befristeten oder unbefristeten Arbeitsverhältnis zur Universität. Sie sind Vollzeit- oder Teilzeitbeschäftigte. §2d FOG:

\n

Grundlegende Bestimmungen zum Schutz personenbezogener Daten § 2d. (1) Für Verarbeitungen nach diesem Abschnitt sind insbesondere folgende angemessene Maßnahmen, wie sie insbesondere in Art. 9 Abs. 2 Buchstabe j sowie Art. 89 Abs. 1 DSGVO vorgesehen sind, einzuhalten:1. über Zugriffe auf personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, ist Protokoll zu führen, damit tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können.2. Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten auf Grundlage dieses Abschnitts verarbeiten und ihre Mitarbeiterinnen und Mitarbeiter – das sind Arbeitnehmerinnen und Arbeitnehmer (Dienstnehmerinnen und Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis – haben personenbezogene Daten, die ihnen ausschließlich auf Grundlage dieses Abschnitts anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis).3. Personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, dürfen ausschließlich für Zwecke dieses Bundesgesetzes verarbeitet werden.4. Natürliche Personen, deren personenbezogene Daten auf Grundlage dieses Abschnitts verarbeitet werden, dürfen keine Nachteile aus der Verarbeitung erleiden, wobei die Verarbeitung in Übereinstimmung mit diesem Abschnitt keinen Nachteil darstellt.5. Verantwortliche, die Verarbeitungen auf Grundlage des Abs. 2 durchführen, habena) im Internet öffentlich einsehbar auf die Inanspruchnahme dieser Rechtsgrundlage hinzuweisen,b) bei Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen die Namensangaben sowie andere Personenkennzeichen gemäß Art. 87 DSGVO abgesehen von den bereichsspezifischen Personenkennzeichen „Forschung“ (bPK-BF-FO) und bereichsspezifischen Personenkennzeichen in verschlüsselter Form (vbPK) jedenfalls zu löschen,c) vor Heranziehung von Registern gemäß Abs. 2 Z 3 jedenfalls einen Datenschutzbeauftragten (Art. 37 DSGVO) zu bestellen,d) die Aufgabenverteilung bei der Verarbeitung der Daten (§ 2b Z 5) zwischen den Organisationseinheiten und zwischen den Mitarbeiterinnen und Mitarbeitern ausdrücklich festzulegen,e) die Verarbeitung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden,f) jede Mitarbeiterin und jeden Mitarbeiter über ihre oder seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,g) die Zutrittsberechtigung zu den Räumlichkeiten, in denen die Verarbeitung der Daten (§ 2b Z 5) tatsächlich erfolgt, zu regeln,h) die Zugriffsberechtigung auf Daten (§ 2b Z 5) und Programme und den Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln,i) die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,j) eine Dokumentation über die nach den lit. d bis i getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern,k) in ihrem Antrag auf Zugang zu Daten gemäß § 2d Abs. 2 Z 3 anzugeben:aa) die Gründe, warum das Forschungsvorhaben nur mittels des in § 2d Abs. 2 Z 3 vorgesehenen Zugangs durchgeführt werden kann,bb) die natürlichen Personen, die Zugang zu Daten gemäß § 2d Abs. 2 Z 3 erhalten sollen,cc) die Datensätze, zu denen Zugang benötigt wird, und die Methoden ihrer Analyse sowiedd) die angestrebten Ergebnisse des Forschungsvorhabens,l) bei Verarbeitung von Daten, zu denen gemäß § 2d Abs. 2 Z 3 Zugang gewährt wurde, vorzusehen, dass nur die im Antrag genannten natürlichen Personen auf diese Daten zugreifen dürfen.m) bei Übermittlung von Namensangaben gemäß Abs. 2 Z 3 sind diese nach Erreichung der Zwecke gemäß Art. 89 Abs. 1 DSGVO zu löschen.6. Die Veröffentlichung von Personenkennzeichen darf unter keinen Umständen erfolgen.6a. Bei Gewährung des Zugangs zu Daten (§ 2b Z 5) gemäß Abs. 2 Z 3 haben Verantwortliche, die bundesgesetzlich vorgesehene Register führena) die §§ 31a und 31b des Bundesstatistikgesetzes 2000, BGBl.

\n

I Nr. 163/1999, einzuhalten undb) andere Personenkennzeichen gemäß Art. 87 DSGVO als bereichsspezifische Personenkennzeichen zu entfernen.7. Die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung hat nach Anhörunga) von Vertreterinnen oder Vertretern, die von den zuständigen Bundesministerinnen und Bundesminister ernannt wurden, wobei jede Bundesministerin oder jeder Bundesminister eine Vertreterin oder einen Vertreter zu ernennen hat, undb) der Mitglieder der Delegiertenversammlung gemäß § 5a Abs. 1 und 2 Z 1 und 2 FTFGParagraph 2 d, (1) Für Verarbeitungen nach diesem Abschnitt sind insbesondere folgende angemessene Maßnahmen, wie sie insbesondere in Artikel 9, Absatz 2, Buchstabe j sowie Artikel 89, Absatz eins, DSGVO vorgesehen sind, einzuhalten:, 1. über Zugriffe auf personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, ist Protokoll zu führen, damit tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können., 2.

\n

Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten auf Grundlage dieses Abschnitts verarbeiten und ihre Mitarbeiterinnen und Mitarbeiter – das sind Arbeitnehmerinnen und Arbeitnehmer (Dienstnehmerinnen und Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis – haben personenbezogene Daten, die ihnen ausschließlich auf Grundlage dieses Abschnitts anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis)., 3. Personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, dürfen ausschließlich für Zwecke dieses Bundesgesetzes verarbeitet werden., 4.

\n

Natürliche Personen, deren personenbezogene Daten auf Grundlage dieses Abschnitts verarbeitet werden, dürfen keine Nachteile aus der Verarbeitung erleiden, wobei die Verarbeitung in Übereinstimmung mit diesem Abschnitt keinen Nachteil darstellt., 5. Verantwortliche, die Verarbeitungen auf Grundlage des Absatz 2, durchführen, haben, a) im Internet öffentlich einsehbar auf die Inanspruchnahme dieser Rechtsgrundlage hinzuweisen,, b) bei Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen die Namensangaben sowie andere Personenkennzeichen gemäß Artikel 87, DSGVO abgesehen von den bereichsspezifischen Personenkennzeichen „Forschung“ (bPK-BF-FO) und bereichsspezifischen Personenkennzeichen in verschlüsselter Form (vbPK) jedenfalls zu löschen,, c) vor Heranziehung von Registern gemäß Absatz 2, Ziffer 3, jedenfalls einen Datenschutzbeauftragten (Artikel 37, DSGVO) zu bestellen,, d) die Aufgabenverteilung bei der Verarbeitung der Daten (Paragraph 2 b, Ziffer 5,) zwischen den Organisationseinheiten und zwischen den Mitarbeiterinnen und Mitarbeitern ausdrücklich festzulegen,, e) die Verarbeitung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden,, f) jede Mitarbeiterin und jeden Mitarbeiter über ihre oder seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,, g) die Zutrittsberechtigung zu den Räumlichkeiten, in denen die Verarbeitung der Daten (Paragraph 2 b, Ziffer 5,) tatsächlich erfolgt, zu regeln,, h) die Zugriffsberechtigung auf Daten (Paragraph 2 b, Ziffer 5,) und Programme und den Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln,, i) die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,, j) eine Dokumentation über die nach den Litera d bis i getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern,, k) in ihrem Antrag auf Zugang zu Daten gemäß Paragraph 2 d, Absatz 2, Ziffer 3, anzugeben:, aa) die Gründe, warum das Forschungsvorhaben nur mittels des in Paragraph 2 d, Absatz 2, Ziffer 3, vorgesehenen Zugangs durchgeführt werden kann,, bb) die natürlichen Personen, die Zugang zu Daten gemäß Paragraph 2 d, Absatz 2, Ziffer 3, erhalten sollen,, cc) die Datensätze, zu denen Zugang benötigt wird, und die Methoden ihrer Analyse sowie, dd) die angestrebten Ergebnisse des Forschungsvorhabens,, l) bei Verarbeitung von Daten, zu denen gemäß Paragraph 2 d, Absatz 2, Ziffer 3, Zugang gewährt wurde, vorzusehen, dass nur die im Antrag genannten natürlichen Personen auf diese Daten zugreifen dürfen., m) bei Übermittlung von Namensangaben gemäß Absatz 2, Ziffer 3, sind diese nach Erreichung der Zwecke gemäß Artikel 89, Absatz eins, DSGVO zu löschen., 6.

\n

Die Veröffentlichung von Personenkennzeichen darf unter keinen Umständen erfolgen., 6a. Bei Gewährung des Zugangs zu Daten (Paragraph 2 b, Ziffer 5,) gemäß Absatz 2, Ziffer 3, haben Verantwortliche, die bundesgesetzlich vorgesehene Register führen, a) die Paragraphen 31 a und 31 b des Bundesstatistikgesetzes 2000, Bundesgesetzblatt Teil eins, Nr. 163 aus 1999,, einzuhalten und, b) andere Personenkennzeichen gemäß Artikel 87, DSGVO als bereichsspezifische Personenkennzeichen zu entfernen., 7. Die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung hat nach Anhörung, a) von Vertreterinnen oder Vertretern, die von den zuständigen Bundesministerinnen und Bundesminister ernannt wurden, wobei jede Bundesministerin oder jeder Bundesminister eine Vertreterin oder einen Vertreter zu ernennen hat, und, b) der Mitglieder der Delegiertenversammlung gemäß Paragraph 5 a, Absatz eins und 2 Ziffer eins und 2 FTFG dem Datenschutzrat (§ 14 DSG) in Abständen von fünf Jahren bis zum 1. Juni des jeweiligen Jahres einen Bericht über die Anwendung dieses Abschnitts vorzulegen.8. Soweit keine abweichenden Bestimmungen getroffen werden, haben Verarbeitungen nach diesem Abschnitt den Anforderungen des Abs. 2 Z 1 zu entsprechen.dem Datenschutzrat (Paragraph 14, DSG) in Abständen von fünf Jahren bis zum 1. Juni des jeweiligen Jahres einen Bericht über die Anwendung dieses Abschnitts vorzulegen., 8. Soweit keine abweichenden Bestimmungen getroffen werden, haben Verarbeitungen nach diesem Abschnitt den Anforderungen des Absatz 2, Ziffer eins, zu entsprechen.

\n
(2)Zur Erleichterung der Identifikation im Tätigkeitsbereich „Forschung“ (BF-FO) gemäß § 9 Abs. 1 des E-Government-Gesetzes (E-GovG), BGBl. I Nr. 10/2004, sind die §§ 14 und 15 E-GovG im privaten Bereich nicht anzuwenden. Stattdessen sind die Bestimmungen des E-GovG, die für Verantwortliche des öffentlichen Bereichs gelten, wie insbesondere die §§ 8 bis 13 E-GovG, anzuwenden. Für Zwecke dieses Bundesgesetzes dürfen wissenschaftliche Einrichtungen (§ 2b Z 12), insbesondere auf Grundlage des Art. 9 Abs. 2 Buchstabe g, i und j DSGVO, somit1. sämtliche personenbezogene Daten jedenfalls verarbeiten, insbesondere im Rahmen von Big Data, personalisierter Medizin, biomedizinischer Forschung, Biobanken und der Übermittlung an andere wissenschaftliche Einrichtungen und Auftragsverarbeiter, wenna) anstelle des Namens, bereichsspezifische Personenkennzeichen oder andere eindeutige Identifikatoren zur Zuordnung herangezogen werden oderb) die Verarbeitung in pseudonymisierter Form (Art. 4 Nr. 5 DSGVO) erfolgt oderc) Veröffentlichungenaa) nicht oderbb) nur in anonymisierter oder pseudonymisierter Form(2) Zur Erleichterung der Identifikation im Tätigkeitsbereich „Forschung“ (BF-FO) gemäß Paragraph 9, Absatz eins, des E-Government-Gesetzes (E-GovG), Bundesgesetzblatt Teil eins, Nr. 10 aus 2004,, sind die Paragraphen 14 und 15 E-GovG im privaten Bereich nicht anzuwenden.
\n

Stattdessen sind die Bestimmungen des E-GovG, die für Verantwortliche des öffentlichen Bereichs gelten, wie insbesondere die Paragraphen 8 bis 13 E-GovG, anzuwenden. Für Zwecke dieses Bundesgesetzes dürfen wissenschaftliche Einrichtungen (Paragraph 2 b, Ziffer 12,), insbesondere auf Grundlage des Artikel 9, Absatz 2, Buchstabe g, i und j DSGVO, somit, 1. sämtliche personenbezogene Daten jedenfalls verarbeiten, insbesondere im Rahmen von Big Data, personalisierter Medizin, biomedizinischer Forschung, Biobanken und der Übermittlung an andere wissenschaftliche Einrichtungen und Auftragsverarbeiter, wenn, a) anstelle des Namens, bereichsspezifische Personenkennzeichen oder andere eindeutige Identifikatoren zur Zuordnung herangezogen werden oder, b) die Verarbeitung in pseudonymisierter Form (Artikel 4, Nr. 5 DSGVO) erfolgt oder, c) Veröffentlichungen, aa) nicht oder, bb) nur in anonymisierter oder pseudonymisierter Form (Anm.: sublit. cc aufgehoben durch BGBl. I Nr. 205/2021)erfolgen oderd) die Verarbeitung ausschließlich zum Zweck der Anonymisierung oder Pseudonymisierung erfolgt und keine Offenlegung direkt personenbezogener Daten an Dritte (Art. 4 Nr. 10 DSGVO) damit verbunden ist,2. die Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Forschung“ (bPK-BF-FO) sowie von verschlüsselten bPK gemäß § 13 Abs. 2 E-GovG innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist von der Stammzahlenregisterbehörde verlangen, wenna) die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt,b) die Kosten für die Ausstattung mit bereichsspezifischen Personenkennzeichen ersetzt werden undc) die Antragstellerin oder der Antragsteller zumindest Vorname, Familienname und Geburtsdatum für jeden auszustattenden Datensatz bereitstelltAnmerkung, Sub-Litera, c, c, aufgehoben durch Bundesgesetzblatt Teil eins, Nr. 205 aus 2021,)erfolgen oder, d) die Verarbeitung ausschließlich zum Zweck der Anonymisierung oder Pseudonymisierung erfolgt und keine Offenlegung direkt personenbezogener Daten an Dritte (Artikel 4, Nr. 10 DSGVO) damit verbunden ist,, 2. die Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Forschung“ (bPK-BF-FO) sowie von verschlüsselten bPK gemäß Paragraph 13, Absatz 2, E-GovG innerhalb der in Artikel 12, Absatz 3, DSGVO genannten Frist von der Stammzahlenregisterbehörde verlangen, wenn, a) die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß Paragraph 2 c, Absatz eins, ist oder über eine gültige Bestätigung gemäß Paragraph 2 c, Absatz 2, verfügt,, b) die Kosten für die Ausstattung mit bereichsspezifischen Personenkennzeichen ersetzt werden und, c) die Antragstellerin oder der Antragsteller zumindest Vorname, Familienname und Geburtsdatum für jeden auszustattenden Datensatz bereitstellt

\n

sowie3. von Verantwortlichen, die bundesgesetzlich vorgesehene Register – mit Ausnahme der in den Bereichen der Gerichtsbarkeit sowie der Rechtsanwälte und Notare im Rahmen des jeweiligen gesetzlichen Wirkungsbereichs geführten Register und des Strafregisters – führen, sowie im Falle von ELGA von der ELGA-Ombudsstelle, den Zugang zu Daten (§ 2b Z 5), bei denen keine Identifizierung von betroffenen Personen oder Unternehmen durch Namen, Anschrift oder anhand einer öffentlich zugänglichen Identifikationsnummer möglich ist, innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist aus diesen Registern in elektronischer Form verlangen, wenna) die Verarbeitungaa) ausschließlich für Zwecke der Lebens- und Sozialwissenschaften erfolgt undbb) auch einem öffentlichen Interesse dient, insbesondere eine Zielsetzung gemäß Art. 23 Abs. 1 DSGVO erfüllt,b) das Register in einer Verordnung gemäß § 38b angeführt ist,c) die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt,d) die Kosten für die Gewährung des Zugangs zu Daten (§ 2b Z 5) ersetzt werden unde) falls ein Abgleich mit vorhandenen Daten beantragt wird, beim Antrag auf Gewährung des Zugangs zu Daten (§ 2b Z 5) die entsprechenden bPK gemäß § 13 Abs. 2 E-GovG der betroffenen Personen zur Verfügung gestellt werden.sowie, 3. von Verantwortlichen, die bundesgesetzlich vorgesehene Register – mit Ausnahme der in den Bereichen der Gerichtsbarkeit sowie der Rechtsanwälte und Notare im Rahmen des jeweiligen gesetzlichen Wirkungsbereichs geführten Register und des Strafregisters – führen, sowie im Falle von ELGA von der ELGA-Ombudsstelle, den Zugang zu Daten (Paragraph 2 b, Ziffer 5,), bei denen keine Identifizierung von betroffenen Personen oder Unternehmen durch Namen, Anschrift oder anhand einer öffentlich zugänglichen Identifikationsnummer möglich ist, innerhalb der in Artikel 12, Absatz 3, DSGVO genannten Frist aus diesen Registern in elektronischer Form verlangen, wenn, a) die Verarbeitung, aa) ausschließlich für Zwecke der Lebens- und Sozialwissenschaften erfolgt und, bb) auch einem öffentlichen Interesse dient, insbesondere eine Zielsetzung gemäß Artikel 23, Absatz eins, DSGVO erfüllt,, b) das Register in einer Verordnung gemäß Paragraph 38 b, angeführt ist,, c) die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß Paragraph 2 c, Absatz eins, ist oder über eine gültige Bestätigung gemäß Paragraph 2 c, Absatz 2, verfügt,, d) die Kosten für die Gewährung des Zugangs zu Daten (Paragraph 2 b, Ziffer 5,) ersetzt werden und, e) falls ein Abgleich mit vorhandenen Daten beantragt wird, beim Antrag auf Gewährung des Zugangs zu Daten (Paragraph 2 b, Ziffer 5,) die entsprechenden bPK gemäß Paragraph 13, Absatz 2, E-GovG der betroffenen Personen zur Verfügung gestellt werden.

\n
(3)Im Anwendungsbereich dieses Bundesgesetzes ist die Verarbeitung von Daten (§ 2b Z 5) gemäß Art. 9 Abs. 2 Buchstabe j DSGVO zulässig, wenn die betroffene Person freiwillig, in informierter Weise und unmissverständlich ihren Willen in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung bekundet, mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden zu sein, wobei die Angabe eines Zweckes durch die Angabe1. eines Forschungsbereiches oder2. mehrerer Forschungsbereiche oder3. von Forschungsprojekten oder4. von Teilen von Forschungsprojekten(3) Im Anwendungsbereich dieses Bundesgesetzes ist die Verarbeitung von Daten (Paragraph 2 b, Ziffer 5,) gemäß Artikel 9, Absatz 2, Buchstabe j DSGVO zulässig, wenn die betroffene Person freiwillig, in informierter Weise und unmissverständlich ihren Willen in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung bekundet, mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden zu sein, wobei die Angabe eines Zweckes durch die Angabe, 1. eines Forschungsbereiches oder, 2. mehrerer Forschungsbereiche oder, 3. von Forschungsprojekten oder, 4. von Teilen von Forschungsprojekten erfolgen darf („broad consent“). (Anm.: Datenschutz-Folgenabschätzung zu Abs. 3 siehe Anlage 2)Anmerkung, Datenschutz-Folgenabschätzung zu Absatz 3, siehe Anlage 2)
\n
(4)Hinsichtlich der Weiterverarbeitung gemäß Art. 5 Abs. 1 Buchstabe b DSGVO zu Zwecken gemäß Art. 89 Abs. 1 DSGVO stellen diese keine unzulässigen Zwecke im Sinne des § 62 Abs. 1 Z 2 DSG dar.(4) Hinsichtlich der Weiterverarbeitung gemäß Artikel 5, Absatz eins, Buchstabe b DSGVO zu Zwecken gemäß Artikel 89, Absatz eins, DSGVO stellen diese keine unzulässigen Zwecke im Sinne des Paragraph 62, Absatz eins, Ziffer 2, DSG dar.
\n
(5)Gemäß Art. 5 Abs. 1 Buchstabe e DSGVO dürfen personenbezogene Daten für Zwecke gemäß Art. 89 Abs. 1 DSGVO unbeschränkt gespeichert und gegebenenfalls sonst verarbeitet werden, soweit gesetzlich keine zeitlichen Begrenzungen vorgesehen sind.(5) Gemäß Artikel 5, Absatz eins, Buchstabe e DSGVO dürfen personenbezogene Daten für Zwecke gemäß Artikel 89, Absatz eins, DSGVO unbeschränkt gespeichert und gegebenenfalls sonst verarbeitet werden, soweit gesetzlich keine zeitlichen Begrenzungen vorgesehen sind.
\n
(6)Die folgenden Rechte finden insoweit keine Anwendung, als dadurch die Erreichung von Zwecken gemäß Art. 89 Abs. 1 DSGVO voraussichtlich unmöglich gemacht oder ernsthaft beeinträchtigt wird:1. Auskunftsrecht der betroffenen Person (Art. 15 DSGVO),2. Recht auf Berichtigung (Art. 16 DSGVO),3. Recht auf Löschung bzw. Recht auf Vergessenwerden (Art. 17 DSGVO),4. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),5. Recht auf Datenübertragbarkeit (Art. 20 DSGVO) sowie6. Widerspruchsrecht (Art. 21 DSGVO).(7) Auf Grundlage des Art. 9 Abs. 2 Buchstabe j DSGVO ist im Sinne des § 7 Abs. 2 Z 1 DSG die Einholung einer Genehmigung der Datenschutzbehörde gemäß § 7 Abs. 2 Z 3 DSG nicht erforderlich, wenn die Verarbeitung in Übereinstimmung mit diesem Abschnitt erfolgt.(6) Die folgenden Rechte finden insoweit keine Anwendung, als dadurch die Erreichung von Zwecken gemäß Artikel 89, Absatz eins, DSGVO voraussichtlich unmöglich gemacht oder ernsthaft beeinträchtigt wird:, 1.
\n

Auskunftsrecht der betroffenen Person (Artikel 15, DSGVO),, 2. Recht auf Berichtigung (Artikel 16, DSGVO),, 3. Recht auf Löschung bzw. Recht auf Vergessenwerden (Artikel 17, DSGVO),, 4. Recht auf Einschränkung der Verarbeitung (Artikel 18, DSGVO),, 5. Recht auf Datenübertragbarkeit (Artikel 20, DSGVO) sowie, 6. Widerspruchsrecht (Artikel 21, DSGVO)., (7) Auf Grundlage des Artikel 9, Absatz 2, Buchstabe j DSGVO ist im Sinne des Paragraph 7, Absatz 2, Ziffer eins, DSG die Einholung einer Genehmigung der Datenschutzbehörde gemäß Paragraph 7, Absatz 2, Ziffer 3, DSG nicht erforderlich, wenn die Verarbeitung in Übereinstimmung mit diesem Abschnitt erfolgt.

\n
(8)Abweichend von § 12 Abs. 4 Z 3 und 4 DSG ist im Anwendungsbereich dieses Bundesgesetzes und des § 44 KAKuG sowohl der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten mit anderen personenbezogenen Daten als auch die Auswertung von mittels Bildaufnahmen gewonnen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) als Auswahlkriterium für Zwecke gemäß Art. 89 Abs. 1 DSGVO zulässig, vorausgesetzt1. die Verarbeitung erfolgt durch wissenschaftliche Einrichtungen und2. durch die Verarbeitung erfolgt keine Veröffentlichung personenbezogener Daten.(8) Abweichend von Paragraph 12, Absatz 4, Ziffer 3 und 4 DSG ist im Anwendungsbereich dieses Bundesgesetzes und des Paragraph 44, KAKuG sowohl der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten mit anderen personenbezogenen Daten als auch die Auswertung von mittels Bildaufnahmen gewonnen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Artikel 9, DSGVO) als Auswahlkriterium für Zwecke gemäß Artikel 89, Absatz eins, DSGVO zulässig, vorausgesetzt, 1. die Verarbeitung erfolgt durch wissenschaftliche Einrichtungen und, 2. durch die Verarbeitung erfolgt keine Veröffentlichung personenbezogener Daten.
\n
(9)Bereichsspezifische Personenkennzeichen (§ 9 E-GovG) dürfen für Zwecke dieses Bundesgesetzes in maschinenlesbarer Form an Forschungsmaterial (§ 2b Z 6) angebracht werden.(9) Bereichsspezifische Personenkennzeichen (Paragraph 9, E-GovG) dürfen für Zwecke dieses Bundesgesetzes in maschinenlesbarer Form an Forschungsmaterial (Paragraph 2 b, Ziffer 6,) angebracht werden.
\n

3.3.2 Auf den konkreten Fall umgelegt bedeutet dies Folgendes:

\n

Zu Spruchpunkt A1):

\n

In welchen Fällen das Verfahren einzustellen ist, regelt das VwGVG nicht. Die Einstellung steht nach allgemeinem Verständnis am Ende jener Verfahren, in denen ein Erledigungsanspruch nach Beschwerdeeinbringung verloren geht, worunter auch der Fall der Zurückziehung der Beschwerde zu subsumieren ist (vgl. Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren2 (2018) § 28 VwGVG, Anm. 5).In welchen Fällen das Verfahren einzustellen ist, regelt das VwGVG nicht. Die Einstellung steht nach allgemeinem Verständnis am Ende jener Verfahren, in denen ein Erledigungsanspruch nach Beschwerdeeinbringung verloren geht, worunter auch der Fall der Zurückziehung der Beschwerde zu subsumieren ist vergleiche Fister/Fuchs/Sachs, Verwaltungsgerichtsverfahren2 (2018) Paragraph 28, VwGVG, Anmerkung 5).

\n

Die Einstellung des Verfahrens hat bei Zurückziehung der Beschwerde in Beschlussform zu ergehen (vgl. Eder/Martschin/Schmid, Das Verfahrensrecht der Verwaltungsgerichte2 (2017) § 28 VwGVG K3, und VwGH, 09.09.2016, Ra 2016/02/0137, zur unterschiedlichen Form der Einstellung in Fällen des § 45 Abs. 1 VStG und § 28 Abs. 1 VwGVG).Die Einstellung des Verfahrens hat bei Zurückziehung der Beschwerde in Beschlussform zu ergehen vergleiche Eder/Martschin/Schmid, Das Verfahrensrecht der Verwaltungsgerichte2 (2017) Paragraph 28, VwGVG K3, und VwGH, 09.09.2016, Ra 2016/02/0137, zur unterschiedlichen Form der Einstellung in Fällen des Paragraph 45, Absatz eins, VStG und Paragraph 28, Absatz eins, VwGVG).

\n

Die BF8 zog im Rahmen der mündlichen Verhandlung im Wege ihrer rechtsanwaltlichen Vertretung ihre Beschwerde zurück. Dadurch fiel ihr Rechtsschutzinteresse weg. Einer Sachentscheidung durch das Gericht ist demnach die Grundlage entzogen, weshalb das Verfahren im Hinblick auf die BF8 einzustellen ist.

\n

Zu Spruchpunkt A2):

\n

3.3.2.1. Zur datenschutzrechtlichen Rollenverteilung: „Verantwortlicher“ ist nach Art. 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.„Verantwortlicher“ ist nach Artikel 4, Ziffer 7, DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

\n

Der EuGH hat entschieden, dass eine natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für die Verarbeitung Verantwortlicher angesehen werden kann (vgl. EuGH 29.07.2019, C-40/17 [Fashion ID] Rz 68, mit Verweis auf das Urteil vom 10.07.2018, C-25/17 [Zeugen Jehovas]‚ Rz 68).Der EuGH hat entschieden, dass eine natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für die Verarbeitung Verantwortlicher angesehen werden kann vergleiche EuGH 29.07.2019, C-40/17 [Fashion ID] Rz 68, mit Verweis auf das Urteil vom 10.07.2018, C-25/17 [Zeugen Jehovas]‚ Rz 68).

\n

Zur datenschutzrechtlichen Rolle des BF11:

\n

Vonseiten der belangten Behörde wird in Bezug auf den BF11 dessen Eingliederung in die Organisation der BF12 – im Hinblick auf die Bindung des BF12 an Weisungen arbeitsrechtlicher Natur der BF12 sowie auf § 97 Abs. 1 UG 2002 – nicht in Frage gestellt, wohl aber bestimme der BF11 als Leiter des fallgegenständlichen Projekts über Zwecke und Mittel der zugehörigen Datenverarbeitung mit. Die Argumentation des BF11 übersehe die besondere und – vor allem im Bereich der wissenschaftlichen Forschung – verfassungsrechtlich gewährleistete privilegierte Stellung des BF11 als Universitätsprofessor (iSd Art. 17 Abs. 1 StGG), aufgrund derer eine weitgehende Weisungsfreiheit in ihrer Forschung und Lehre bestehe.

\n

Demgemäß scheide eine Privilegierung nach Art. 29 DSGVO für den BF11 aus.Vonseiten der belangten Behörde wird in Bezug auf den BF11 dessen Eingliederung in die Organisation der BF12 – im Hinblick auf die Bindung des BF12 an Weisungen arbeitsrechtlicher Natur der BF12 sowie auf Paragraph 97, Absatz eins, UG 2002 – nicht in Frage gestellt, wohl aber bestimme der BF11 als Leiter des fallgegenständlichen Projekts über Zwecke und Mittel der zugehörigen Datenverarbeitung mit. Die Argumentation des BF11 übersehe die besondere und – vor allem im Bereich der wissenschaftlichen Forschung – verfassungsrechtlich gewährleistete privilegierte Stellung des BF11 als Universitätsprofessor (iSd Artikel 17, Absatz eins, StGG), aufgrund derer eine weitgehende Weisungsfreiheit in ihrer Forschung und Lehre bestehe.

\n

Demgemäß scheide eine Privilegierung nach Artikel 29, DSGVO für den BF11 aus.

\n

Der BF11 bestritt im Administrativverfahren ihre Verantwortlicheneigenschaft iSd Art. 4 Z 7 DSGVO. Der BF11 bestritt im Administrativverfahren ihre Verantwortlicheneigenschaft iSd Artikel 4, Ziffer 7, DSGVO.

\n

Der BF11 monierte auch im Verfahren vor dem Bundesverwaltungsgericht (weiterhin), dass er kein datenschutzrechtlicher Verantwortlicher iSd Art. 4 Z 7 DSGVO sei. Begründend wird hierzu im Wesentlichen vorgebracht, dass die belangte Behörde dem BF11 unrichtigerweise die Privilegierung nach Art. 29 DSGVO verwehrt habe, da Art. 17 StGG einer arbeitsrechtlichen Weisung nicht entgegenstehe, Universitätsprofessoren könnten sehr wohl entsprechende Vorgaben für Datenverarbeitungen auferlegt werden. Der BF11 sei der BF12 nach Art. 29 DSGVO zuzurechnen und sei die BF12 im Verhältnis zum BF11 alleinige datenschutzrechtliche Verantwortliche. Der BF11 monierte auch im Verfahren vor dem Bundesverwaltungsgericht (weiterhin), dass er kein datenschutzrechtlicher Verantwortlicher iSd Artikel 4, Ziffer 7, DSGVO sei. Begründend wird hierzu im Wesentlichen vorgebracht, dass die belangte Behörde dem BF11 unrichtigerweise die Privilegierung nach Artikel 29, DSGVO verwehrt habe, da Artikel 17, StGG einer arbeitsrechtlichen Weisung nicht entgegenstehe, Universitätsprofessoren könnten sehr wohl entsprechende Vorgaben für Datenverarbeitungen auferlegt werden. Der BF11 sei der BF12 nach Artikel 29, DSGVO zuzurechnen und sei die BF12 im Verhältnis zum BF11 alleinige datenschutzrechtliche Verantwortliche.

\n

Im Hinblick auf die Qualifizierung eines Verantwortlichen für eine Datenverarbeitung ist zunächst Folgendes zu berücksichtigen:

\n

Bei der Ausrichtung der Definition als Verantwortlicher – als jene Person oder Stelle, die über Zweck(e) und Mittel der Verarbeitung entscheidet – handelt sich im Regelfall um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 87; in diesem Sinne auch Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO Rz 16). Wesentliches Kriterium ist somit stets die Bestimmung von Zweck und Mittel der Verarbeitung.Bei der Ausrichtung der Definition als Verantwortlicher – als jene Person oder Stelle, die über Zweck(e) und Mittel der Verarbeitung entscheidet – handelt sich im Regelfall um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird (Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 87; in diesem Sinne auch Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 7, DSGVO Rz 16). Wesentliches Kriterium ist somit stets die Bestimmung von Zweck und Mittel der Verarbeitung.

\n

Der Verantwortliche kann sich nicht darauf beschränken, nur den Zweck zu bestimmen. Er muss auch Entscheidungen bezüglich der Mittel der Verarbeitung treffen. „Wesentliche Mittel“, d.h. Mittel, die in engem Zusammenhang mit dem Zweck und dem Umfang der Verarbeitung stehen, etwa die Bestimmung der Betroffenen, über die Daten verarbeitet werden, die über sie zu verarbeiteten Datenarten, ihre Speicherdauer und die Kategorien von Empfängern, sind in der Regel dem Verantwortlichen vorbehalten (vgl. dazu die Ausführungen in den EDSA-Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0 vom 07.07.2021).Der Verantwortliche kann sich nicht darauf beschränken, nur den Zweck zu bestimmen. Er muss auch Entscheidungen bezüglich der Mittel der Verarbeitung treffen. „Wesentliche Mittel“, d.h. Mittel, die in engem Zusammenhang mit dem Zweck und dem Umfang der Verarbeitung stehen, etwa die Bestimmung der Betroffenen, über die Daten verarbeitet werden, die über sie zu verarbeiteten Datenarten, ihre Speicherdauer und die Kategorien von Empfängern, sind in der Regel dem Verantwortlichen vorbehalten vergleiche dazu die Ausführungen in den EDSA-Leitlinien 07 aus 2020, zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0 vom 07.07.2021).

\n

Der DSGVO liegt im Hinblick auf die Verantwortlicheneigenschaft das Prinzip der rechtlichen Einheit zu Grunde, wonach das Handeln von in einer Einheit beschäftigten Personen, die unter der potenziellen Kontrolle der rechtlichen Einheit stehen, auch dieser zuzurechnen ist (vgl. Arning/Rothkegel in Taeger/Gabel, DSGVO – BDSG – TTDSG, Art. 4 Z 7, Rz 177).Der DSGVO liegt im Hinblick auf die Verantwortlicheneigenschaft das Prinzip der rechtlichen Einheit zu Grunde, wonach das Handeln von in einer Einheit beschäftigten Personen, die unter der potenziellen Kontrolle der rechtlichen Einheit stehen, auch dieser zuzurechnen ist vergleiche Arning/Rothkegel in Taeger/Gabel, DSGVO – BDSG – TTDSG, Artikel 4, Ziffer 7,, Rz 177).

\n

Dem Verantwortlichen sind „sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw. Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane)“ (vgl. Hödl in Knyrim, DatKomm Art 4 DSGVO, Rz 83).Dem Verantwortlichen sind „sämtliche Personen und Stellen funktional zuzurechnen, die unter seiner Aufsicht bzw. Anweisung Schritte einer Datenverarbeitung vornehmen (Hilfsorgane)“ vergleiche Hödl in Knyrim, DatKomm Artikel 4, DSGVO, Rz 83).

\n

Art. 29 DSGVO richtet sich an den Auftragsverarbeiter sowie jeder dem Verantwortlichen oder dem Auftragsverarbeiter unterstellten Person. Aus dem Begriff „unterstellt“ wird man auf eine gewisse engere („hierarchische“) Ein- oder Anbindung in die Organisation des Verantwortlichen oder Auftragsverarbeiters schließen dürfen (vgl. Bogendorfer in Knyrim, DatKomm, Art 29 DSGVO [1.12.2022, rdb.at] Rz 17; in diesem Sinne auch Jahnel, Kommentar zur Datenschutz-Grundverordnung, Art. 29 DSGVO [1.12.2020, rdb.at] Rz 4). Artikel 29, DSGVO richtet sich an den Auftragsverarbeiter sowie jeder dem Verantwortlichen oder dem Auftragsverarbeiter unterstellten Person. Aus dem Begriff „unterstellt“ wird man auf eine gewisse engere („hierarchische“) Ein- oder Anbindung in die Organisation des Verantwortlichen oder Auftragsverarbeiters schließen dürfen vergleiche Bogendorfer in Knyrim, DatKomm, Artikel 29, DSGVO [1.12.2022, rdb.at] Rz 17; in diesem Sinne auch Jahnel, Kommentar zur Datenschutz-Grundverordnung, Artikel 29, DSGVO [1.12.2020, rdb.at] Rz 4).

\n

Die Datenverarbeitung durch eine „unterstellte Person“ erfolgt auch im Interesse des Verantwortlichen oder Auftragsverarbeiters, unter dessen Verantwortung die Person agiert. Basis dafür ist eine Vertragsbeziehung, aus der durch eine Weisungsgebundenheit des Verantwortlichen oder Auftragsverarbeiters eine Eingriffsmöglichkeit in die Datenverarbeitung und damit eine Zurechnung der Datenverarbeitung zum jeweiligen Verantwortlichen oder Auftragsverarbeiter ableitbar ist. Dazu gehören Arbeitnehmer, Personen in einem arbeitnehmerähnlichen Dienstverhältnis, Personen in einem öffentlich-rechtlichen Dienstverhältnis oder in einem Ausbildungsverhältnis und auch Leiharbeitsverhältnis. Doch muss dies nicht auf ein Dienstverhältnis eingeschränkt sein.

\n

Auch Personen, die in keinem Arbeits-, Dienst- oder Ausbildungsverhältnis zum Verantwortlichen oder Auftragsverarbeiter stehen, aber anderweitig unter der „Aufsicht“ und Kontrolle des Verantwortlichen/Auftragsverarbeiters stehen, können als „unterstellte Personen“ iSd Art 29 qualifiziert werden (vgl. Bogendorfer in Knyrim, DatKomm, Art 29 DSGVO [1.12.2022, rdb.at] Rz 17 mwN). Darüber hinaus spricht vieles dafür, auch freie Mitarbeiter und Berater, die auf der Grundlage eines Werk- oder Dienstvertrages tätig werden, unter den Begriff zu fassen (so etwa auch Lutz/Gabel in Taeger/Gabel, DSGVO – BDSG – TTDSG, Art. 29, Rz 9 mit Verweis auf Hartung in Kühling/​Buchner, DS-GVO/BDSG3 Art 29 Rz 13; vgl. dazu wiederum Bogendorfer in Knyrim, DatKomm, Art 29 DSGVO [1.12.2022, rdb.at] Rz 17).

\n

Die Datenverarbeitung durch eine „unterstellte Person“ erfolgt auch im Interesse des Verantwortlichen oder Auftragsverarbeiters, unter dessen Verantwortung die Person agiert. Basis dafür ist eine Vertragsbeziehung, aus der durch eine Weisungsgebundenheit des Verantwortlichen oder Auftragsverarbeiters eine Eingriffsmöglichkeit in die Datenverarbeitung und damit eine Zurechnung der Datenverarbeitung zum jeweiligen Verantwortlichen oder Auftragsverarbeiter ableitbar ist. Dazu gehören Arbeitnehmer, Personen in einem arbeitnehmerähnlichen Dienstverhältnis, Personen in einem öffentlich-rechtlichen Dienstverhältnis oder in einem Ausbildungsverhältnis und auch Leiharbeitsverhältnis. Doch muss dies nicht auf ein Dienstverhältnis eingeschränkt sein.

\n

Auch Personen, die in keinem Arbeits-, Dienst- oder Ausbildungsverhältnis zum Verantwortlichen oder Auftragsverarbeiter stehen, aber anderweitig unter der „Aufsicht“ und Kontrolle des Verantwortlichen/Auftragsverarbeiters stehen, können als „unterstellte Personen“ iSd Artikel 29, qualifiziert werden vergleiche Bogendorfer in Knyrim, DatKomm, Artikel 29, DSGVO [1.12.2022, rdb.at] Rz 17 mwN). Darüber hinaus spricht vieles dafür, auch freie Mitarbeiter und Berater, die auf der Grundlage eines Werk- oder Dienstvertrages tätig werden, unter den Begriff zu fassen (so etwa auch Lutz/Gabel in Taeger/Gabel, DSGVO – BDSG – TTDSG, Artikel 29,, Rz 9 mit Verweis auf Hartung in Kühling/​Buchner, DS-GVO/BDSG3 Artikel 29, Rz 13; vergleiche dazu wiederum Bogendorfer in Knyrim, DatKomm, Artikel 29, DSGVO [1.12.2022, rdb.at] Rz 17).

\n

Zur Wissenschafts- und Lehrefreiheit gemäß Art. 17 Abs. 1 StGG wird in wissenschaftlichen Kommentaren Folgendes angeführt:Zur Wissenschafts- und Lehrefreiheit gemäß Artikel 17, Absatz eins, StGG wird in wissenschaftlichen Kommentaren Folgendes angeführt:

\n

Grundrechtsträger der Wissenschafts- und Lehrefreiheit ist jedermann, dh inländische und ausländische natürliche Personen. Nach hL können auch inländische und ausländische juristische Personen (zB wissenschaftliche Vereine) Grundrechtsträger sein, uU sogar wissenschaftliche Institutionen und Organe ohne (sonstige) Rechtspersönlichkeit als funktionelle Grundrechtsträger (vgl. Gamper in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Art. 17 StGG Rz 5 mwN [Stand 1.1.2021, rdb.at]). Es richtet sich gegen den hoheitlich handelnden Staat; dieser darf Forschung und Lehre weder durch Gesetz noch durch Maßnahmen der Vollziehung intentional beschränken (vgl. Muzak, B-VG6 Art 17 StGG Rz 3 [Stand 1.10.2020, rdb.at], mit Verweis auf VfSlg 8136, 13.978).Grundrechtsträger der Wissenschafts- und Lehrefreiheit ist jedermann, dh inländische und ausländische natürliche Personen.

\n

Nach hL können auch inländische und ausländische juristische Personen (zB wissenschaftliche Vereine) Grundrechtsträger sein, uU sogar wissenschaftliche Institutionen und Organe ohne (sonstige) Rechtspersönlichkeit als funktionelle Grundrechtsträger vergleiche Gamper in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Artikel 17, StGG Rz 5 mwN [Stand 1.1.2021, rdb.at]). Es richtet sich gegen den hoheitlich handelnden Staat; dieser darf Forschung und Lehre weder durch Gesetz noch durch Maßnahmen der Vollziehung intentional beschränken vergleiche Muzak, B-VG6 Artikel 17, StGG Rz 3 [Stand 1.10.2020, rdb.at], mit Verweis auf VfSlg 8136, 13.978).

\n

Art. 17 Abs. 1 StGG verbietet intentionale Eingriffe, also Maßnahmen, die spezifisch darauf abzielen, die Wissenschaftsfreiheit zu beschränken (zB eine Meldepflicht für Lehrveranstaltungen oder Forschungsvorhaben). Im Übrigen jedoch ist die Wissenschaftsfreiheit nur innerhalb der Schranken der allgemeinen Gesetze gewährleistet („immanente Grundrechtsschranken“); zulässig sind aber nur solche Beschränkungen, die zum Schutz eines anderen Rechtsgutes notwendig (verhältnismäßig) sind (vgl. Grabenwarter/Frank, B-VG Art 17 StGG Rz 4 [Stand 20.6.2020, rdb.at], mit Verweis auf VfSlg 13.978/1994). Artikel 17, Absatz eins, StGG verbietet intentionale Eingriffe, also Maßnahmen, die spezifisch darauf abzielen, die Wissenschaftsfreiheit zu beschränken (zB eine Meldepflicht für Lehrveranstaltungen oder Forschungsvorhaben). Im Übrigen jedoch ist die Wissenschaftsfreiheit nur innerhalb der Schranken der allgemeinen Gesetze gewährleistet („immanente Grundrechtsschranken“); zulässig sind aber nur solche Beschränkungen, die zum Schutz eines anderen Rechtsgutes notwendig (verhältnismäßig) sind vergleiche Grabenwarter/Frank, B-VG Artikel 17, StGG Rz 4 [Stand 20.6.2020, rdb.at], mit Verweis auf VfSlg 13.978 aus 1994,).

\n

Durch spezifische, intentional auf die Einengung dieser Freiheit gerichtete (vgl zB VfSlg 8136/1977, 13.978/1994, 18.559/2008, 18.763/2009) Eingriffe, wie z.B. Vorgaben, Anzeige- oder Genehmigungspflichten hinsichtlich Gegenstand, Methoden oder Inhalten von Wissenschaft, darf das Grundrecht gar nicht und durch nichtintentionale Eingriffe nur innerhalb der immanenten Schranken der allgemeinen (nicht nur im Verfassungsrang stehende) Gesetze (vgl. z.B. VfSlg 13.978/1994, 14.485/1996) eingeschränkt werden. Allgemeine dienst-, arbeits-, organisations- und studienrechtliche Vorschriften, auch wenn sie sich einschlägig an das wissenschaftliche Universitätspersonal und nicht irgendwelche Personengruppen in irgendwelchen Lebensbereichen richten, stellen keine intentionalen Eingriffe dar (vgl.

\n

Gamper in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Art. 17 StGG Rz 13 mwN [Stand 1.1.2021, rdb.at]). Der VwGH verneinte unter Berufung auf Art. 17 StGG auch eine Verpflichtung zur Veröffentlichung wissenschaftlicher Arbeiten; dies bezieht sich wohl auf einzelne konkrete Arbeiten; eine generelle dienstrechtliche Publikationsverpflichtung erscheint dagegen zulässig. Art 17 Abs. 1 StGG gebietet somit insb eine Universitätsorganisation, die eine intentionale Beschränkung von Forschung und Lehre durch den Staat ausschließt. Darin erschöpft sich der institutionelle Bezug des Art 17 Abs. 1 StGG. Eine weitergehende institutionelle Bedeutung hat diese Bestimmung nicht (vgl.

\n

Muzak, B-VG6 Art 17 StGG Rz 6, mwN [Stand 1.10.2020, rdb.at] und insbesondere mit Verweis auf VwGH 27.06.2012, 2011/12/0172). Durch spezifische, intentional auf die Einengung dieser Freiheit gerichtete vergleiche zB VfSlg 8136 aus 1977,, 13.978 aus 1994,, 18.559 aus 2008,, 18.763 aus 2009,) Eingriffe, wie z.B. Vorgaben, Anzeige- oder Genehmigungspflichten hinsichtlich Gegenstand, Methoden oder Inhalten von Wissenschaft, darf das Grundrecht gar nicht und durch nichtintentionale Eingriffe nur innerhalb der immanenten Schranken der allgemeinen (nicht nur im Verfassungsrang stehende) Gesetze vergleiche z.B. VfSlg 13.978 aus 1994,, 14.485 aus 1996,) eingeschränkt werden. Allgemeine dienst-, arbeits-, organisations- und studienrechtliche Vorschriften, auch wenn sie sich einschlägig an das wissenschaftliche Universitätspersonal und nicht irgendwelche Personengruppen in irgendwelchen Lebensbereichen richten, stellen keine intentionalen Eingriffe dar vergleiche Gamper in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Artikel 17, StGG Rz 13 mwN [Stand 1.1.2021, rdb.at]).

\n

Der VwGH verneinte unter Berufung auf Artikel 17, StGG auch eine Verpflichtung zur Veröffentlichung wissenschaftlicher Arbeiten; dies bezieht sich wohl auf einzelne konkrete Arbeiten; eine generelle dienstrechtliche Publikationsverpflichtung erscheint dagegen zulässig.

\n

Artikel 17, Absatz eins, StGG gebietet somit insb eine Universitätsorganisation, die eine intentionale Beschränkung von Forschung und Lehre durch den Staat ausschließt. Darin erschöpft sich der institutionelle Bezug des Artikel 17, Absatz eins, StGG. Eine weitergehende institutionelle Bedeutung hat diese Bestimmung nicht vergleiche Muzak, B-VG6 Artikel 17, StGG Rz 6, mwN [Stand 1.10.2020, rdb.at] und insbesondere mit Verweis auf VwGH 27.06.2012, 2011/12/0172).

\n

Unmittelbare Drittwirkung kommt dem Grundrecht nach hL nicht zu, wohl aber bindet es den Gesetzgeber auch dann, wenn er privates Arbeitsrecht für Wissenschaftler an öffentlichen Universitäten schafft (vgl. Gamper in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Art. 17 StGG Rz 10 mwN [Stand 1.1.2021, rdb.at]).Unmittelbare Drittwirkung kommt dem Grundrecht nach hL nicht zu, wohl aber bindet es den Gesetzgeber auch dann, wenn er privates Arbeitsrecht für Wissenschaftler an öffentlichen Universitäten schafft vergleiche Gamper in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Artikel 17, StGG Rz 10 mwN [Stand 1.1.2021, rdb.at]).

\n

Wie oben auch festgestellt, verkennt das Bundesverwaltungsgericht in Ansehung dieser Ausführungen zunächst nicht, dass der BF11 – als Leiter – im Rahmen des fallbezogenen Projektes federführend in die Erarbeitung der Beschreibung der dort präsentierten Einrichtungen sowie ihre laufende Überarbeitung eingebunden und ihm somit maßgeblich Einfluss auf die Bestimmung über Zwecke und Mittel der zugehörigen Datenverarbeitung zukommt. Der BF11 führte demgemäß in der Beschwerdeverhandlung unmissverständlich an, dass er im gegebenen Zusammenhang über die Auswahl der Forschungsgegenstände, die Methodik ihrer Aufarbeitung und die Veröffentlichung der Forschungsergebnisse entscheidet.

\n

Dennoch ist zu berücksichtigen, dass nach § 3 Z 1 UG die Universitäten im Rahmen ihres Wirkungsbereiches die Entwicklung der Wissenschaften (Forschung und Lehre), die Entwicklung und Erschließung der Kunst sowie die Lehre der Kunst als Aufgabe erfüllen. Dennoch ist zu berücksichtigen, dass nach Paragraph 3, Ziffer eins, UG die Universitäten im Rahmen ihres Wirkungsbereiches die Entwicklung der Wissenschaften (Forschung und Lehre), die Entwicklung und Erschließung der Kunst sowie die Lehre der Kunst als Aufgabe erfüllen.

\n

Die §§ 97 - 99a UG regeln die Aufnahme von Universitätsprofessorinnen und -professoren in privatrechtliche Arbeitsverhältnisse zur vollrechtsfähigen Universität und grundsätzliche Aufgaben der in einem solchen Verfahren aufgenommenen Universitätsprofessoren (vgl. Kucsko-Stadlmayer/Haslinger in Perthold-Stoitzner, UG3.01 § 97 Rz 1 [Stand 1.12.2018, rdb.at]). Sohin sind gemäß § 97 Abs. 1 UG Universitätsprofessorinnen und Universitätsprofessoren für die Forschung oder die Entwicklung und Erschließung der Künste sowie für die Lehre in ihrem Fachgebiet verantwortlich und stehen in einem befristeten oder unbefristeten Arbeitsverhältnis zur Universität. Die Paragraphen 97, - 99a UG regeln die Aufnahme von Universitätsprofessorinnen und -professoren in privatrechtliche Arbeitsverhältnisse zur vollrechtsfähigen Universität und grundsätzliche Aufgaben der in einem solchen Verfahren aufgenommenen Universitätsprofessoren vergleiche Kucsko-Stadlmayer/Haslinger in Perthold-Stoitzner, UG3.01 Paragraph 97, Rz 1 [Stand 1.12.2018, rdb.at]). Sohin sind gemäß Paragraph 97, Absatz eins, UG Universitätsprofessorinnen und Universitätsprofessoren für die Forschung oder die Entwicklung und Erschließung der Künste sowie für die Lehre in ihrem Fachgebiet verantwortlich und stehen in einem befristeten oder unbefristeten Arbeitsverhältnis zur Universität. § 97 UG Abs. 1 regelt das Verwendungsbild der Universitätsprofessorinnen und -professoren relativ knapp iS einer „Verantwortlichkeit“ für Forschung (Entwicklung und Erschließung der Künste) und Lehre. Die Bestimmung des Abs. 1 ist in Zusammenhang mit § 2 Z 2 UG zu lesen, der die Verbindung von Forschung und Lehre (bzw. Verbindung der Entwicklung und Erschließung der Künste und ihrer Lehre, Verbindung von Wissenschaft und Kunst) zum leitenden Grundsatz der Universitäten erklärt (vgl. erneut Perthold-Stoitzner, UG3.01 § 97 Rz 6, 7 [Stand 1.12.2018, rdb.at]).Paragraph 97, UG Absatz eins, regelt das Verwendungsbild der Universitätsprofessorinnen und -professoren relativ knapp iS einer „Verantwortlichkeit“ für Forschung (Entwicklung und Erschließung der Künste) und Lehre. Die Bestimmung des Absatz eins, ist in Zusammenhang mit Paragraph 2, Ziffer 2, UG zu lesen, der die Verbindung von Forschung und Lehre (bzw. Verbindung der Entwicklung und Erschließung der Künste und ihrer Lehre, Verbindung von Wissenschaft und Kunst) zum leitenden Grundsatz der Universitäten erklärt vergleiche erneut Perthold-Stoitzner, UG3.01 Paragraph 97, Rz 6, 7 [Stand 1.12.2018, rdb.at]).

\n

In diesem Sinne ist in Anbetracht der hier vorliegenden Konstellation festzuhalten, dass der BF11 – soweit es die fallbezogenen Datenverarbeitungen betrifft – zu keiner Zeit in eigener datenschutzrechtlicher Verantwortung agierte, sondern vielmehr stets in seiner Funktion und Anstellung als Universitätsprofessor für die BF12 tätig war bzw. ist. Wie der BF11 zutreffend aufzeigt, wurde der betreffende Vertrag zwischen der BF12 und dem MB insofern auch ausschließlich von der BF12 abgeschlossen. Nicht zuletzt unter Berücksichtigung dessen, dass ausschließlich Ressourcen der BF12 oder der MB genutzt wurden, war bzw. ist der BF11 im gegebenen Kontext stets in die Organisation der BF12 eingebunden, wenngleich er für diese als Leiter am gegenständlichen Projekt beteiligt ist. Im Sinne des oben angesprochenen Prinzips der rechtlichen Einheit ist dieser somit der BF12 zuzurechnen.

\n

Das Bundesverwaltungsgericht verkennt keineswegs die iSd Art. 17 StGG privilegierte Stellung des BF11 – wiewohl dieses Grundrecht grundsätzlich jedermann zusteht. Ungeachtet dessen kann nicht erkannt werden, inwiefern Art. 17 StGG und das damit verbundene Verbot von Maßnahmen, die spezifisch darauf abzielen, die Wissenschaftsfreiheit zu beschränken, eine Verantwortlicheneigenschaft des BF11 gemäß Art. 4 Z 7 (iVm Art 26) DSGVO im vorliegenden Fall gebietet. Anzufügen ist, dass allgemeine dienst-, arbeits-, organisations- und studienrechtliche Vorschriften, auch wenn sie sich einschlägig an das wissenschaftliche Universitätspersonal richten, keine intentionalen Eingriffe darstellen. Dass das Verbot von Eingriffen, wie z.

\n

B. Vorgaben, Anzeige- oder Genehmigungspflichten hinsichtlich Gegenstand, Methoden oder Inhalten von Wissenschaft, vorliegend für eine Verantwortlichenstellung des BF11 ausschlaggebend wäre, ist nicht nachvollziehbar. Zwar hob der BF11 im Rahmen der mündlichen Verhandlung einerseits sinngemäß hervor, dass er einen Eingriff in die fallbezogene Forschung und in die damit einhergehende Publikation nicht dulden würde und andererseits die BF12 anführte, sich generell inhaltlich oder in die Forschungsmethode ihrer Professorenschaft nicht einzumischen. Demgegenüber achtet die BF12 unter Zuhilfenahme diverser Maßnahmen auf die Einhaltung des Datenschutzrechtes durch ihre Mitarbeiter:innen. Es ist nicht ersichtlich, dass diesbezüglich Art. 17 StGG allgemeinen Vorgaben bzw.

\n

Weisungen, wonach bei etwaigen Verstößen ein datenschutzrechtskonformes Verhalten sicherzustellen ist, entgegensteht. Das Bundesverwaltungsgericht verkennt keineswegs die iSd Artikel 17, StGG privilegierte Stellung des BF11 – wiewohl dieses Grundrecht grundsätzlich jedermann zusteht. Ungeachtet dessen kann nicht erkannt werden, inwiefern Artikel 17, StGG und das damit verbundene Verbot von Maßnahmen, die spezifisch darauf abzielen, die Wissenschaftsfreiheit zu beschränken, eine Verantwortlicheneigenschaft des BF11 gemäß Artikel 4, Ziffer 7, in Verbindung mit Artikel 26,) DSGVO im vorliegenden Fall gebietet. Anzufügen ist, dass allgemeine dienst-, arbeits-, organisations- und studienrechtliche Vorschriften, auch wenn sie sich einschlägig an das wissenschaftliche Universitätspersonal richten, keine intentionalen Eingriffe darstellen.

\n

Dass das Verbot von Eingriffen, wie z. B. Vorgaben, Anzeige- oder Genehmigungspflichten hinsichtlich Gegenstand, Methoden oder Inhalten von Wissenschaft, vorliegend für eine Verantwortlichenstellung des BF11 ausschlaggebend wäre, ist nicht nachvollziehbar. Zwar hob der BF11 im Rahmen der mündlichen Verhandlung einerseits sinngemäß hervor, dass er einen Eingriff in die fallbezogene Forschung und in die damit einhergehende Publikation nicht dulden würde und andererseits die BF12 anführte, sich generell inhaltlich oder in die Forschungsmethode ihrer Professorenschaft nicht einzumischen. Demgegenüber achtet die BF12 unter Zuhilfenahme diverser Maßnahmen auf die Einhaltung des Datenschutzrechtes durch ihre Mitarbeiter:innen.

\n

Es ist nicht ersichtlich, dass diesbezüglich Artikel 17, StGG allgemeinen Vorgaben bzw. Weisungen, wonach bei etwaigen Verstößen ein datenschutzrechtskonformes Verhalten sicherzustellen ist, entgegensteht.

\n

Es mag zwar zutreffen, dass der BF11 Genehmigungsanträge im Zusammenhang mit der Forschungstätigkeit in Bezug auf das gegenständliche Projekt an die belangte Behörde gestellt hat, dennoch hat dies keine Auswirkungen auf die (alleinige) Verantwortlicheneigenschaft der BF12, da diese Rechtsträgerin des Projektes ist und der BF11 dieser im oben beschriebenen Sinn zuzurechnen ist. Im Übrigen können die Anträge, welche der BF11 unter Bezugnahme auf das Institut, welchem er vorsteht, stellte, genauso dahingehend interpretiert werden, dass er sie im Namen der BF12 stellen wollte.

\n

Als maßgeblich ist nochmals darauf hinzuweisen, dass der BF11 im Rahmen des gegenständlichen Projektes aus datenschutzrechtlicher Perspektive stets sowohl fachlich als auch organisatorisch in die Struktur der BF12 einbezogen ist. Einer solchen datenschutzrechtlichen Beurteilung steht auch die Forschungs- und Wissenschaftsfreiheit gemäß Art. 17 StGG nicht entgegen.Als maßgeblich ist nochmals darauf hinzuweisen, dass der BF11 im Rahmen des gegenständlichen Projektes aus datenschutzrechtlicher Perspektive stets sowohl fachlich als auch organisatorisch in die Struktur der BF12 einbezogen ist. Einer solchen datenschutzrechtlichen Beurteilung steht auch die Forschungs- und Wissenschaftsfreiheit gemäß Artikel 17, StGG nicht entgegen.

\n

Vor diesem Hintergrund hätte die belangte Behörde die Datenschutzbeschwerde der BF1 bis 10 betreffend den BF11 mangels Verantwortlicheneigenschaft abzuweisen gehabt (vgl. VwGH 18.03.2022, Ro 2020/04/0027).Vor diesem Hintergrund hätte die belangte Behörde die Datenschutzbeschwerde der BF1 bis 10 betreffend den BF11 mangels Verantwortlicheneigenschaft abzuweisen gehabt vergleiche VwGH 18.03.2022, Ro 2020/04/0027).

\n

Zur datenschutzrechtlichen Rolle der MB:

\n

Zur Rolle des MB führte die belangte Behörde zwar zunächst insoweit richtig aus, dass diesem gemäß dem F&E- -Vertrages grundsätzlich – neben der vorgebrachten Finanzierung – die Zurverfügungstellung von inhaltlichen Informationen sowie die Prüfung und Aktualisierung von Daten in Bezug auf XXXX obliegt. Der F&E-Vertrag zwischen der BF12 und dem MB statuiert dahingehend auch die gemeinsame Durchführung des fallgegenständlichen Projekts.Zur Rolle des MB führte die belangte Behörde zwar zunächst insoweit richtig aus, dass diesem gemäß dem F&E- -Vertrages grundsätzlich – neben der vorgebrachten Finanzierung – die Zurverfügungstellung von inhaltlichen Informationen sowie die Prüfung und Aktualisierung von Daten in Bezug auf römisch 40 obliegt. Der F&E-Vertrag zwischen der BF12 und dem MB statuiert dahingehend auch die gemeinsame Durchführung des fallgegenständlichen Projekts.

\n

Für die Beurteilung der Fähigkeit, wer über Zwecke und Mittel einer Verarbeitung entscheiden kann, sind die tatsächlichen und faktischen Umstände einer bestimmten Verarbeitungssituation ausschlaggebend (funktionelles Konzept). Es kommt daher ausschließlich auf den tatsächlichen Einfluss an. Eine nicht der tatsächlichen Entscheidungssituation entsprechende Zuweisung der Rollen (zB in einem Vertrag) entfaltet keine Rechtswirkung (vgl. Wyrobek in Knyrim, DatKomm Art 26 DSGVO Rz 14, 15 mwN [Stand 1.6.2021, rdb.at]).Für die Beurteilung der Fähigkeit, wer über Zwecke und Mittel einer Verarbeitung entscheiden kann, sind die tatsächlichen und faktischen Umstände einer bestimmten Verarbeitungssituation ausschlaggebend (funktionelles Konzept). Es kommt daher ausschließlich auf den tatsächlichen Einfluss an. Eine nicht der tatsächlichen Entscheidungssituation entsprechende Zuweisung der Rollen (zB in einem Vertrag) entfaltet keine Rechtswirkung vergleiche Wyrobek in Knyrim, DatKomm Artikel 26, DSGVO Rz 14, 15 mwN [Stand 1.6.2021, rdb.at]).

\n

Im verwaltungsgerichtlichen Verfahren hat sich im Hinblick auf das Wirken des MB im Zusammenhang mit dem Y-Projekt ergeben, dass – konträr zum Vertragsinhalt – der F&E-Vertrag tatsächlich als Forschungsförderung „gelebt“ wurde, sohin sich die Rolle des MB ausschließlich auf die Beistellung von finanziellen Mitteln beschränkte, ohne einen Einfluss auf die Zwecke und Mittel der fallbezogenen Datenverarbeitungen, allen voran die Veröffentlichungen im Y-Projekt, gehabt zu haben. Wie die MB ausführte, fanden Veröffentlichungen auf der Y-Website schon seit 20 XXXX statt und ist daher nicht davon auszugehen, dass sie über die Mittel und Zwecke der Datenverarbeitung, insbesondere im Hinblick auf eine Veröffentlichung, entschied. Im verwaltungsgerichtlichen Verfahren hat sich im Hinblick auf das Wirken des MB im Zusammenhang mit dem Y-Projekt ergeben, dass – konträr zum Vertragsinhalt – der F&E-Vertrag tatsächlich als Forschungsförderung „gelebt“ wurde, sohin sich die Rolle des MB ausschließlich auf die Beistellung von finanziellen Mitteln beschränkte, ohne einen Einfluss auf die Zwecke und Mittel der fallbezogenen Datenverarbeitungen, allen voran die Veröffentlichungen im Y-Projekt, gehabt zu haben. Wie die MB ausführte, fanden Veröffentlichungen auf der Y-Website schon seit 20 römisch 40 statt und ist daher nicht davon auszugehen, dass sie über die Mittel und Zwecke der Datenverarbeitung, insbesondere im Hinblick auf eine Veröffentlichung, entschied.

\n

Im Lichte dieser Erwägungen ist sohin auch der MB nicht als Verantwortlicher iSd Art. 4 Z 7 DSGVO für die fallgegenständlichen Datenverarbeitungen, insbesondere die Publikation auf der Y-Website, anzusehen. Anknüpfend daran wäre die Datenschutzbeschwerde ebenso betreffend den MB schon mangels Verantwortlicheneigenschaft abzuweisen gewesen (vgl. erneut VwGH 18.03.2022, Ro 2020/04/0027).Im Lichte dieser Erwägungen ist sohin auch der MB nicht als Verantwortlicher iSd Artikel 4, Ziffer 7, DSGVO für die fallgegenständlichen Datenverarbeitungen, insbesondere die Publikation auf der Y-Website, anzusehen. Anknüpfend daran wäre die Datenschutzbeschwerde ebenso betreffend den MB schon mangels Verantwortlicheneigenschaft abzuweisen gewesen vergleiche erneut VwGH 18.03.2022, Ro 2020/04/0027).

\n

Folglich ist im gegebenen Fall einzig die BF12 als Verantwortliche zu qualifizieren, weshalb – zusätzlich unter Berücksichtigung des mittlerweile eingetretenen Gültigkeitsablaufs des F&E-Vertrages – dem Spruchpunkt 2. des bekämpften Bescheides insofern die Grundlage entzogen ist und dieser daher in Erledigung der Beschwerde des BF11 und der BF12 ersatzlos zu beheben war.

\n

3.3.2.2. Zur behaupteten Verletzung im Recht auf Geheimhaltung:

\n

Zum Vorliegen personenbezogener Daten der juristischen Personen (BF1 bis 6): § 1 Abs. 1 DSG legt fest, dass jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit ein schutzwürdiges Interesse daran besteht. Eine Beschränkung dieses Anspruchs ergibt sich grundsätzlich aus Abs. 2 leg. cit., die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen (vgl. den Bescheid der DSB vom 31.10.2018, GZ DSB-D123.076/0003-DSB/2018, RIS). Unter schutzwürdigen personenbezogenen Daten sind in diesem Zusammenhang nicht nur unschwer als personenbezogene erkennbare Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen, sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen.

\n

Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig. (vgl. VfSlg. 12.228/1989, 12.880/1991, 16.369/2001).Paragraph eins, Absatz eins, DSG legt fest, dass jedermann, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten hat, soweit ein schutzwürdiges Interesse daran besteht. Eine Beschränkung dieses Anspruchs ergibt sich grundsätzlich aus Absatz 2, leg. cit., die DSGVO und insbesondere auch die darin verankerten Grundsätze sind jedoch zur Auslegung des Rechts auf Geheimhaltung jedenfalls zu berücksichtigen vergleiche den Bescheid der DSB vom 31.10.2018, GZ DSB-D123.076/0003-DSB/2018, RIS).

\n

Unter schutzwürdigen personenbezogenen Daten sind in diesem Zusammenhang nicht nur unschwer als personenbezogene erkennbare Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen, sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig. vergleiche VfSlg. 12.228 aus 1989,, 12.880 aus 1991,, 16.369 aus 2001,).

\n

Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß § 1 Abs. 1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen.Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch gemäß Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen.

\n

Im Hinblick darauf, dass es sich bei den BF1 bis 6 um juristische Personen handelt, ist zunächst Folgendes zu berücksichtigen:

\n

Kern des Grundrechts auf Datenschutz nach Abs. 1 bildet die Achtung von schutzwürdigen Geheimhaltungsinteressen des Betroffenen. Grundrechtsträger können sowohl natürliche als auch juristische Personen sein. Ziel des Datenschutzrechts ist es, den Rechtsschutz der natürlichen oder juristischen Person oder Personengemeinschaft zu gewährleisten, deren Daten verwendet werden. Das DSG ist allein auf den Schutz des Betroffenen ausgerichtet (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 § 1 Rz 9 [Stand 1.2.2022, rdb.at] mit Verweis auf OGH 29.06.2006, 6 Ob A 1/06z, [Crew Management System]).Kern des Grundrechts auf Datenschutz nach Absatz eins, bildet die Achtung von schutzwürdigen Geheimhaltungsinteressen des Betroffenen. Grundrechtsträger können sowohl natürliche als auch juristische Personen sein. Ziel des Datenschutzrechts ist es, den Rechtsschutz der natürlichen oder juristischen Person oder Personengemeinschaft zu gewährleisten, deren Daten verwendet werden. Das DSG ist allein auf den Schutz des Betroffenen ausgerichtet vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz (DSG)2 Paragraph eins, Rz 9 [Stand 1.2.2022, rdb.at] mit Verweis auf OGH 29.06.2006, 6 Ob A 1/06z, [Crew Management System]).

\n

In einer rezenten Entscheidung vom 12.03.2024, Zl. E 3436/2023-16 (Rz 26), führte der VfGH Folgendes aus:

", "next": 239763}