RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum28.01.2025 GeschäftszahlW108 2286343-1 Spruch, W108 2286343-1/7E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richte

§ 28Abs. 2 Vw

GVG als unbegründet abgewiesen. Die Beschwerde wird

Paragraph 28, Absatz 2, VwGVG als unbegründet abgewiesen. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang und Sachverhalt:römisch eins. Verfahrensgang und Sachverhalt: 1. In ihrer an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde

Art. 77

Datenschutz-Grundverordnung (DSGVO) vom 24.02.2021 (verbessert mit Eingabe vom 15.03.2021) behauptete die Beschwerdeführerin eine Verletzung im Recht auf Auskunft

Art. 15

DSGVO durch den Magistrat XXXX (Beschwerdegegner im Verfahren vor der belangten Behörde, nunmehr mitbeteiligte Partei im Verfahren vor dem Bundesverwaltungsgericht). 1. In ihrer an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde

Artikel 77

, Datenschutz-Grundverordnung (DSGVO) vom 24.02.2021 (verbessert mit Eingabe vom 15.03.2021) behauptete die Beschwerdeführerin eine Verletzung im Recht auf Auskunft

Artikel 15

, DSGVO durch den Magistrat römisch 40 (Beschwerdegegner im Verfahren vor der belangten Behörde, nunmehr mitbeteiligte Partei im Verfahren vor dem Bundesverwaltungsgericht). Dazu wurde zusammengefasst (soweit verfahrensgegenständlich relevant) vorgebracht: Am 18.12.2020 habe die Beschwerdeführerin eine Auskunft nach Art. 15 DSGVO bei der mitbeteiligten Partei beantragt, die ihr am 20.01.2021 zugegangen sei. Zuvor sei ihr eine neue e-Card mit aufgebrachtem Lichtbild zugesandt worden, wodurch eine Weitergabe des Lichtbildes an den Hauptverband der Sozialversicherungsträger stattgefunden habe müssen. Am 20.03.2019 sei im Zuge eines Verwaltungsstrafverfahrens das Lichtbild des Reisepasses P XXXX abgefragt worden. Beide Übermittlungen seien nicht in der Auskunft erwähnt worden, weiters enthalte die erhaltene Auskunft in Bezug auf den ELAK nur sogenannte „äußere Protokolldaten“ (Metadaten, Beschreibung der gespeicherten Inhalte), nicht jedoch die Daten bzw. Inhalte selbst, ebenso sei das konkrete Lichtbild nicht beauskunftet worden. Dazu wurde zusammengefasst (soweit verfahrensgegenständlich relevant) vorgebracht: Am 18.12.2020 habe die Beschwerdeführerin eine Auskunft nach Artikel 15, DSGVO bei der mitbeteiligten Partei beantragt, die ihr am 20.01.2021 zugegangen sei. Zuvor sei ihr eine neue e-Card mit aufgebrachtem Lichtbild zugesandt worden, wodurch eine Weitergabe des Lichtbildes an den Hauptverband der Sozialversicherungsträger stattgefunden habe müssen. Am 20.03.2019 sei im Zuge eines Verwaltungsstrafverfahrens das Lichtbild des Reisepasses P römisch 40 abgefragt worden. Beide Übermittlungen seien nicht in der Auskunft erwähnt worden, weiters enthalte die erhaltene Auskunft in Bezug auf den ELAK nur sogenannte „äußere Protokolldaten“ (Metadaten, Beschreibung der gespeicherten Inhalte), nicht jedoch die Daten bzw. Inhalte selbst, ebenso sei das konkrete Lichtbild nicht beauskunftet worden. § 16 Abs. 1 Z 1 iVm § 22b Abs. 1 erster Satz Passgesetz 1992 (PassG) lege die (gemeinsame) Verantwortlichkeit der Passbehörden iSd Art. 4 Z 7 DSGVO iVm Art. 26 Abs. 1 DSGVO fest. Weiters werde der zuständigen Passbehörde in § 22b Abs. 1a PassG 1992 explizit aufgetragen, sämtliche Aufgaben, die sich aus der Wahrnehmung der Betroffenenrechte ergeben, zu übernehmen. Es sei der Vollständigkeit halber angemerkt, dass die Einschränkung auf „zuständige Verantwortliche“ aufgrund des Vorrangs des Art. 26 Abs. 3 DSGVO nicht anzuwenden sei, wie bereits in anderen Verfahren festgestellt worden sei.Paragraph 16, Absatz eins, Ziffer eins, in Verbindung mit Paragraph 22 b, Absatz eins, erster Satz Passgesetz 1992 (PassG) lege die (gemeinsame) Verantwortlichkeit der Passbehörden iSd Artikel 4, Ziffer 7, DSGVO in Verbindung mit Artikel 26, Absatz eins, DSGVO fest. Weiters werde der zuständigen Passbehörde in Paragraph 22 b, Absatz eins a, PassG 1992 explizit aufgetragen, sämtliche Aufgaben, die sich aus der Wahrnehmung der Betroffenenrechte ergeben, zu übernehmen. Es sei der Vollständigkeit halber angemerkt, dass die Einschränkung auf „zuständige Verantwortliche“ aufgrund des Vorrangs des Artikel 26, Absatz 3, DSGVO nicht anzuwenden sei, wie bereits in anderen Verfahren festgestellt worden sei. Dadurch sei bewiesen, dass die mitbeteiligte Partei auch sämtliche stattgefundene automatisierte Übermittlungen (e-Card, Polizei, E-ID…) in Bezug auf die von ihr verarbeiteten Daten zu beauskunften hätte, was hier offenkundig unterblieben sei, und sie die Verantwortung trage, dass eine solche Beauskunftung tatsächlich möglich sei. Die Beschwerdeführerin stellte den Antrag, dass die belangte Behörde die behaupteten Rechtsverletzungen mittels Bescheid feststelle und anordne, dass ihr eine dem Art. 15 DSGVO konforme Auskunft inkl. ELAK-Inhaltsdaten und Lichtbilder erteilt werde.Die Beschwerdeführerin stellte den Antrag, dass die belangte Behörde die behaupteten Rechtsverletzungen mittels Bescheid feststelle und anordne, dass ihr eine dem Artikel 15, DSGVO konforme Auskunft inkl. ELAK-Inhaltsdaten und Lichtbilder erteilt werde.

1. Über Aufforderung der belangten Behörde erstattete die mitbeteiligte Partei am 29.04.2021 eine Stellungnahme, in welcher (soweit verfahrensgegenständlich relevant) ausgeführt wurde, dass Zugriffe der Sicherheitsbehörden (zB der Polizei) auf Daten des zentralen Identitätsdokumentenregisters (IDR) keiner Zustimmung und keines Verarbeitungsvorganges innerhalb der mitbeteiligten Partei bedürften. Diese Sicherheitsbehörden hätten eine automatische Zugriffsmöglichkeit, die nicht von der mitbeteiligten Partei als nach dem PassG gemeinsam verantwortliche Passbehörde (§ 22b Abs. 1 PassG) beeinflusst werden könne. Ausschließlich das Bundesministerium für Inneres als oberste Sicherheitsbehörde entscheide über die Rollenvergabe an die nachgeordneten Sicherheitsbehörden für das zentrale IDR zur Abfrage von personenbezogenen Reisedokumentdaten (einschließlich Lichtbild). Die mitbeteiligte Partei habe als Passbehörde auf die Vergabe von EDV-Rollen für die Sicherheitsbehörden im Identitätsdokumentenregister weder einen rechtlichen noch einen technischen Einfluss und verfüge auch über keinerlei Protokollierungsdaten zu diesen Zugriffen. Dies gelte auch bezüglich der Übermittlung von Lichtbildern an den Dachverband der österreichischen Sozialversicherungsträger (DVSV). Mangels realer Möglichkeit für die mitbeteiligte Partei, einen Einfluss auf diese Zugriffsberechtigungen auf das IDR zu nehmen, könne keine datenschutzrechtliche Verantwortlichkeit iSd Art. 4 Z 7 DSGVO für die beschwerdegegenständlichen Übermittlungen bestehen. Es sei der mitbeteiligten Partei daher auch nicht möglich gewesen, die von der Beschwerdeführerin begehrten Übermittlungen zu beauskunften.
2. Über Aufforderung der belangten Behörde erstattete die mitbeteiligte Partei am 29.04.2021 eine Stellungnahme, in welcher (soweit verfahrensgegenständlich relevant) ausgeführt wurde, dass Zugriffe der Sicherheitsbehörden (zB der Polizei) auf Daten des zentralen Identitätsdokumentenregisters (IDR) keiner Zustimmung und keines Verarbeitungsvorganges innerhalb der mitbeteiligten Partei bedürften. Diese Sicherheitsbehörden hätten eine automatische Zugriffsmöglichkeit, die nicht von der mitbeteiligten Partei als nach dem PassG gemeinsam verantwortliche Passbehörde (Paragraph 22 b, Absatz eins, PassG) beeinflusst werden könne. Ausschließlich das Bundesministerium für Inneres als oberste Sicherheitsbehörde entscheide über die Rollenvergabe an die nachgeordneten Sicherheitsbehörden für das zentrale IDR zur Abfrage von personenbezogenen Reisedokumentdaten (einschließlich Lichtbild). Die mitbeteiligte Partei habe als Passbehörde auf die Vergabe von EDV-Rollen für die Sicherheitsbehörden im Identitätsdokumentenregister weder einen rechtlichen noch einen technischen Einfluss und verfüge auch über keinerlei Protokollierungsdaten zu diesen Zugriffen. Dies gelte auch bezüglich der Übermittlung von Lichtbildern an den Dachverband der österreichischen Sozialversicherungsträger (DVSV). Mangels realer Möglichkeit für die mitbeteiligte Partei, einen Einfluss auf diese Zugriffsberechtigungen auf das IDR zu nehmen, könne keine datenschutzrechtliche Verantwortlichkeit iSd Artikel 4, Ziffer 7, DSGVO für die beschwerdegegenständlichen Übermittlungen bestehen. Es sei der mitbeteiligten Partei daher auch nicht möglich gewesen, die von der Beschwerdeführerin begehrten Übermittlungen zu beauskunften. Ein Anspruch auf Kopien von Unterlagen bestehe nach der Rechtsprechung des EuGH nicht. Wo genau die Auskunft unvollständig sein solle, müsste von der Beschwerdeführerin konkret vorgebracht werden, um darauf entgegnen zu können.
3. Die Beschwerdeführerin replizierte darauf – nachdem dieser durch die belangte Behörde Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens eingeräumt worden war – in ihrer Stellungnahme vom 21.05.2021 zusammengefasst dahin, dass es der mitbeteiligten Partei durchaus möglich sei, im Rahmen der Amtshilfe eine Auflistung der entsprechenden Übermittlungen beim Auftragsverarbeiter BMI einzuholen, ebenso wäre es möglich, eine automatisierte Abfragemöglichkeit einzurichten, wodurch die Einhaltung des Art. 15 DSGVO sichergestellt wäre. Wenn nun die mitbeteiligte Partei überhaupt keine faktische Möglichkeit habe, derartige Übermittlungen zu beauskunften, dann folge daraus, dass sie keine Verantwortliche sein könne, was die Verfassungskonformität der §§ 22a, 22b PassG 1992 in Frage stelle.
4. Die Beschwerdeführerin replizierte darauf – nachdem dieser durch die belangte Behörde Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens eingeräumt worden war – in ihrer Stellungnahme vom 21.05.2021 zusammengefasst dahin, dass es der mitbeteiligten Partei durchaus möglich sei, im Rahmen der Amtshilfe eine Auflistung der entsprechenden Übermittlungen beim Auftragsverarbeiter BMI einzuholen, ebenso wäre es möglich, eine automatisierte Abfragemöglichkeit einzurichten, wodurch die Einhaltung des Artikel 15, DSGVO sichergestellt wäre. Wenn nun die mitbeteiligte Partei überhaupt keine faktische Möglichkeit habe, derartige Übermittlungen zu beauskunften, dann folge daraus, dass sie keine Verantwortliche sein könne, was die Verfassungskonformität der Paragraphen 22 a, 22 b, PassG 1992 in Frage stelle. Der Erwägungsgrund 63 der DSGVO fordere eine weitreichende Akteneinsicht bezüglich Gesundheitsakten, etwa in Diagnosen, die oftmals ein Bild aus Röntgen, CT, Ultraschall, MRT oder auch Magen/Darm-Sonden sowie auch Laborergebnisse enthielten, was nahelege, dass auch eine Einsicht in alle elektronisch verarbeiteten Akten und Register bei Behörden, inklusive eines biometrischen Lichtbildes als Abbildung, möglich sein müsse, da es sich um ähnlich gelagerte Sachverhalte handle.
5. Über Aufforderung der belangten Behörde erstattete die mitbeteiligte Partei am 26.06.2023 eine ergänzende Stellungnahme, in welcher sie ihr Vorbringen wiederholte, dass die mitbeteiligte Partei keinen rechtlichen und technischen Einfluss auf die Vergabe der Zugriffe für andere Stellen auf das IDR habe und dass keine faktische Möglichkeit bestehe, selbst und direkt auf die Protokolldaten (§ 22b Abs. 5 iVm § 22a Abs. 6 PassG) des IDR zuzugreifen. Ein Anspruch der Beschwerdeführerin auf Übermittlung der in der Auskunft informativ angeführten Aktenbestandteile bestehe nicht.
6. Über Aufforderung der belangten Behörde erstattete die mitbeteiligte Partei am 26.06.2023 eine ergänzende Stellungnahme, in welcher sie ihr Vorbringen wiederholte, dass die mitbeteiligte Partei keinen rechtlichen und technischen Einfluss auf die Vergabe der Zugriffe für andere Stellen auf das IDR habe und dass keine faktische Möglichkeit bestehe, selbst und direkt auf die Protokolldaten (Paragraph 22 b, Absatz 5, in Verbindung mit Paragraph 22 a, Absatz 6, PassG) des IDR zuzugreifen. Ein Anspruch der Beschwerdeführerin auf Übermittlung der in der Auskunft informativ angeführten Aktenbestandteile bestehe nicht.
7. Die Beschwerdeführerin replizierte auf die Stellungnahme der mitbeteiligten Partei mit Schriftsatz vom 10.07.2023 und führte aus, dass eine faktische – und somit endgültige – Unmöglichkeit nicht bestehe, da die Protokolldaten ja prinzipiell vorhanden seien und per Amtshilfe (Art. 22 B-VG) vom BMI angefordert hätten werden können. Die rein textuelle Angabe des Begriffs „Lichtbild“ sei zudem nicht informativ, da sie keine Unterscheidung ermögliche, welches Lichtbild zu welchem Ausweis gespeichert oder weitergegeben worden sei.
8. Die Beschwerdeführerin replizierte auf die Stellungnahme der mitbeteiligten Partei mit Schriftsatz vom 10.07.2023 und führte aus, dass eine faktische – und somit endgültige – Unmöglichkeit nicht bestehe, da die Protokolldaten ja prinzipiell vorhanden seien und per Amtshilfe (Artikel 22, B-VG) vom BMI angefordert hätten werden können. Die rein textuelle Angabe des Begriffs „Lichtbild“ sei zudem nicht informativ, da sie keine Unterscheidung ermögliche, welches Lichtbild zu welchem Ausweis gespeichert oder weitergegeben worden sei.
9. Mit dem angefochtenen Bescheid gab die belangte Behörde der Datenschutzbeschwerde teilweise statt und stellte fest, dass die mitbeteiligte Partei die Beschwerdeführerin dadurch in ihrem Recht auf Auskunft verletzt habe, indem sie nur unvollständige Auskünfte über konkret verarbeitete (Stamm-)Daten (Art. 15 Abs. 1 zweiter Satz iVm Abs. 3 DSGVO), nämlich die konkreten Lichtbilder der Beschwerdeführerin, erteilt habe (Spruchpunkt 1.) und trug der mitbeteiligten Partei auf, innerhalb einer Frist von vier Wochen die konkreten verarbeiteten Lichtbilder der Beschwerdeführerin zu beauskunften (Spruchpunkt 3.). Im Übrigen wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 2.).
10. Mit dem angefochtenen Bescheid gab die belangte Behörde der Datenschutzbeschwerde teilweise statt und stellte fest, dass die mitbeteiligte Partei die Beschwerdeführerin dadurch in ihrem Recht auf Auskunft verletzt habe, indem sie nur unvollständige Auskünfte über konkret verarbeitete (Stamm-)Daten (Artikel 15, Absatz eins, zweiter Satz in Verbindung mit Absatz 3, DSGVO), nämlich die konkreten Lichtbilder der Beschwerdeführerin, erteilt habe (Spruchpunkt 1.) und trug der mitbeteiligten Partei auf, innerhalb einer Frist von vier Wochen die konkreten verarbeiteten Lichtbilder der Beschwerdeführerin zu beauskunften (Spruchpunkt 3.). Im Übrigen wurde die Beschwerde als unbegründet abgewiesen (Spruchpunkt 2.). Die belangte Behörde traf folgende Sachverhaltsfeststellungen (Formatierung nicht wie im Original): „C.
11. Die Beschwerdeführerin übermittelte am
12. Dezember 2020 (eingelangt beim Beschwerdegegner [der mitbeteiligten Partei] am
13. Dezember 2020) auszugsweise folgenden Antrag an den Beschwerdegegner [die mitbeteiligte Partei] (Formatierung nicht 1:1 übernommen): C.
14. Der Beschwerdegegner [die mitbeteiligte Partei] antwortet mit Schreiben vom
15. Jänner 2021 (insgesamt 28 Seiten) auf den Antrag des Beschwerdeführers auszugsweise wie folgt (Formatierung nicht 1:1 übernommen): Rechtlich führte die belangte Behörde (soweit verfahrensgegenständlich relevant) hinsichtlich der monierten fehlenden Beauskunftung von Zugriffen auf das IDR zusammengefasst aus, dass § 22b Abs. 1 PassG normiere, dass Passbehörden als gemeinsame Verantwortliche

Art. 4Z 7 i

Vm Art. 26 Abs. 1 DSGVO ermächtigt seien, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach § 22a Abs. 1 PassG, sohin auch Lichtbilder, mit Ausnahme der lit. k, sowie ab dem Zeitpunkt der Ausstellung auch zusätzliche Daten gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff habe, die diesem von den anderen Verantwortlichen zur Verfügung gestellt worden seien. Wie bereits im Verfahren zur Zl. D124.2311 entschieden, stelle die mitbeteiligte Partei jedoch bloß die „Infrastruktur“ zur Verfügung, um Abfragen aus dem IDR zu tätigen. Es handle sich bei den abfragenden Personen um Bedienstete der LPD XXXX , die eigenständig ohne Vorabprüfung Abfragen aus diesem Register tätigen könnten. Solche Zugriffe erfolgten zu Zwecken, die außerhalb der Tätigkeit der mitbeteiligten Partei lägen, und habe die mitbeteiligte Partei darauf auch keinen Einfluss. Die mitbeteiligte Partei sei daher im Zusammenhang mit diesen selbstständigen Datenabfragen nicht als Verantwortliche zu qualifizieren und es lägen entsprechende Protokolldaten auch nicht vor. Es könne daher diesbezüglich auch keine Mangelhaftigkeit der Auskunft erblickt werden.Rechtlich führte die belangte Behörde (soweit verfahrensgegenständlich relevant) hinsichtlich der monierten fehlenden Beauskunftung von Zugriffen auf das IDR zusammengefasst aus, dass Paragraph 22 b, Absatz eins, PassG normiere, dass Passbehörden als gemeinsame Verantwortliche

Artikel 4

, Ziffer 7, in Verbindung mit Artikel 26, Absatz eins, DSGVO ermächtigt seien, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach Paragraph 22 a, Absatz eins, PassG, sohin auch Lichtbilder, mit Ausnahme der Litera k,, sowie ab dem Zeitpunkt der Ausstellung auch zusätzliche Daten gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff habe, die diesem von den anderen Verantwortlichen zur Verfügung gestellt worden seien. Wie bereits im Verfahren zur Zl. D124.2311 entschieden, stelle die mitbeteiligte Partei jedoch bloß die „Infrastruktur“ zur Verfügung, um Abfragen aus dem IDR zu tätigen. Es handle sich bei den abfragenden Personen um Bedienstete der LPD römisch 40 , die eigenständig ohne Vorabprüfung Abfragen aus diesem Register tätigen könnten. Solche Zugriffe erfolgten zu Zwecken, die außerhalb der Tätigkeit der mitbeteiligten Partei lägen, und habe die mitbeteiligte Partei darauf auch keinen Einfluss. Die mitbeteiligte Partei sei daher im Zusammenhang mit diesen selbstständigen Datenabfragen nicht als Verantwortliche zu qualifizieren und es lägen entsprechende Protokolldaten auch nicht vor. Es könne daher diesbezüglich auch keine Mangelhaftigkeit der Auskunft erblickt werden. Zum Recht auf Erhalt einer Kopie sei festzuhalten, dass diese herauszugeben seien, wenn die beauskunfteten Daten nur dann leicht verständlich seien, wenn hierfür Dokumententeile oder ganze Dokumente herausgegeben werden. Dies werde bei einem Lichtbild in der Regel der Fall sein. Für andere Teile der erteilten Auskunft sei ein solches Erfordernis hingegen nicht zu erblicken. So sei die Auskunft iZm dem ELAK in einer durchaus detaillierten Form erfolgt, die es der Beschwerdeführerin ermöglicht habe, sich der Verarbeitung durch einen Verantwortlichen bewusst zu werden und die Rechtmäßigkeit der Verarbeitung zu überprüfen sowie gegebenenfalls ihre anderen aus der DSGVO erwachsenden Rechte wahrzunehmen. 7. Gegen Spruchpunkt 2. dieses Bescheides erhob die Beschwerdeführerin fristgerecht Beschwerde

Art. 130Abs.

1 Z 1 B-VG (Parteibeschwerde) an das Bundesverwaltungsgericht. Die Beschwerdeführerin brachte darin (nach Wiederholung des Sachverhaltes) zusammengefasst vor, dass im PassG mehrere Legaldefinitionen zur Zuständigkeit und zu den datenschutzrechtlichen Rollen als Verantwortlicher

Art. 4Z 7 DSGVO bzw.

Art. 24 DSGVO und Auftragsverarbeiter

Art. 4Z 8 DSGVO bzw.

Art. 28 DSGVO existieren würden. Somit wären alle Passbehörden (Magistrate, BHs bei gewöhnlichen Reisedokumenten, BMI bei Dienstpässen und nicht im PassG geregelten Fremdenpässen, BMEIA bei Diplomatenpässen) als gemeinsam Verantwortliche zu qualifizieren. Die dem Unionsrecht (DSGVO) widersprechende Regelung im § 22 Abs. 1a PassG, wie Betroffenenrechte auszuüben wären, die eine getrennte Verantwortlichkeit für dieselben Daten erzeugen und die Ausübung der Betroffenenrechte erschweren, laufe dem Grundgedanken der DSGVO zuwider und habe daher unangewendet zu bleiben. Die Feststellung, die mitbeteiligte Partei stelle bloß die „Infrastruktur“ zur Verfügung, um Abfragen aus dem IDR zu tätigen, sei tatsachenwidrig. Das IDR werde in der BMI-Abteilung „IV/9 (Register und Registerservices)“ betrieben. Es handle sich um eine vom BMI zur Verfügung gestellte Plattform, welcher sich die kommunalen Passbehörden bedienten, um die zentrale Ausstellung von Reisedokumenten durch die OeSD (Staatsdruckerei) zu ermöglichen, andererseits aber auch dem BMI die entsprechenden (biometrischen) Daten für Überwachungszwecke zur Verfügung zu stellen. Da die Abrufe der biometrischen Daten (zB für die e-Card oder durch die Polizei zu Überwachungszwecken) innerhalb der Plattform „IDR“ stattfänden, bestehe auch eine gemeinsame Verantwortlichkeit zumindest bis inklusive zum Abruf der biometrischen Daten etwa durch den e-Card-Hersteller AustriaCard oder die Polizei. Das Argument der mitbeteiligten Partei, aufgrund eines fehlenden Zugriffs auf die Protokolldaten diese nicht beauskunften zu müssen bzw. im Hinblick auf diese nicht Verantwortliche zu sein, widerspreche aber dem Konzept der „gemeinsam Verantwortlichen“

Art. 26

DSGVO – einer Art datenschutzrechtlicher „Solidarhaftung“ – und der Idee der DSGVO, dass es einem Betroffenen einfach möglich sein müsse, sämtliche seiner Rechte nach dieser Verordnung möglichst einfach wahrzunehmen.7. Gegen Spruchpunkt 2. dieses Bescheides erhob die Beschwerdeführerin fristgerecht Beschwerde

Artikel 130

, Absatz eins, Ziffer eins, B-VG (Parteibeschwerde) an das Bundesverwaltungsgericht. Die Beschwerdeführerin brachte darin (nach Wiederholung des Sachverhaltes) zusammengefasst vor, dass im PassG mehrere Legaldefinitionen zur Zuständigkeit und zu den datenschutzrechtlichen Rollen als Verantwortlicher

Artikel 4, Ziffer 7, DSGVO bzw.

Artikel 24, DSGVO und Auftragsverarbeiter

Artikel 4, Ziffer 8, DSGVO bzw.

Artikel 28, DSGVO existieren würden. Somit wären alle Passbehörden (Magistrate, BHs bei gewöhnlichen Reisedokumenten, BMI bei Dienstpässen und nicht im PassG geregelten Fremdenpässen, BMEIA bei Diplomatenpässen) als gemeinsam Verantwortliche zu qualifizieren. Die dem Unionsrecht (DSGVO) widersprechende Regelung im Paragraph 22, Absatz eins a, PassG, wie Betroffenenrechte auszuüben wären, die eine getrennte Verantwortlichkeit für dieselben Daten erzeugen und die Ausübung der Betroffenenrechte erschweren, laufe dem Grundgedanken der DSGVO zuwider und habe daher unangewendet zu bleiben. Die Feststellung, die mitbeteiligte Partei stelle bloß die „Infrastruktur“ zur Verfügung, um Abfragen aus dem IDR zu tätigen, sei tatsachenwidrig. Das IDR werde in der BMI-Abteilung „IV/9 (Register und Registerservices)“ betrieben. Es handle sich um eine vom BMI zur Verfügung gestellte Plattform, welcher sich die kommunalen Passbehörden bedienten, um die zentrale Ausstellung von Reisedokumenten durch die OeSD (Staatsdruckerei) zu ermöglichen, andererseits aber auch dem BMI die entsprechenden (biometrischen) Daten für Überwachungszwecke zur Verfügung zu stellen. Da die Abrufe der biometrischen Daten (zB für die e-Card oder durch die Polizei zu Überwachungszwecken) innerhalb der Plattform „IDR“ stattfänden, bestehe auch eine gemeinsame Verantwortlichkeit zumindest bis inklusive zum Abruf der biometrischen Daten etwa durch den e-Card-Hersteller AustriaCard oder die Polizei. Das Argument der mitbeteiligten Partei, aufgrund eines fehlenden Zugriffs auf die Protokolldaten diese nicht beauskunften zu müssen bzw. im Hinblick auf diese nicht Verantwortliche zu sein, widerspreche aber dem Konzept der „gemeinsam Verantwortlichen“

Artikel 26

, DSGVO – einer Art datenschutzrechtlicher „Solidarhaftung“ – und der Idee der DSGVO, dass es einem Betroffenen einfach möglich sein müsse, sämtliche seiner Rechte nach dieser Verordnung möglichst einfach wahrzunehmen. Es werde daher beantragt, die zusätzliche datenschutzrechtliche Verantwortlichkeit des BMI festzustellen, den Bescheid der erstinstanzlichen Behörde in diesem Punkt aufzuheben und den erstinstanzlichen Beschwerdegegner in diesem Fall zu verpflichten, die geforderten Informationen amtswegig zu beschaffen. Ebenso werde angeregt, die entsprechenden Bestimmungen im PassG aufgrund möglicher Verfassungswidrigkeit

Art. 140Abs. 1 Z 1 B-VG dem Vf

GH zur Prüfung vorzulegen.Es werde daher beantragt, die zusätzliche datenschutzrechtliche Verantwortlichkeit des BMI festzustellen, den Bescheid der erstinstanzlichen Behörde in diesem Punkt aufzuheben und den erstinstanzlichen Beschwerdegegner in diesem Fall zu verpflichten, die geforderten Informationen amtswegig zu beschaffen. Ebenso werde angeregt, die entsprechenden Bestimmungen im PassG aufgrund möglicher Verfassungswidrigkeit

Artikel 140, Absatz eins, Ziffer eins, B-VG dem Vf

GH zur Prüfung vorzulegen.

1. Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch, legte die Beschwerde samt den bezughabenden Verwaltungsakten dem Bundesverwaltungsgericht zur Entscheidung vor, wobei sie in einer Beschwerdebeantwortung den angefochtenen Bescheid verteidigte und ergänzend ausführte, dass der nunmehrige Antrag der Beschwerdeführerin „die zusätzliche datenschutzrechtliche Verantwortlichkeit des BMI festzustellen, den Bescheid der erstinstanzlichen Behörde in diesem Punkt aufzuheben und den erstinstanzlichen Beschwerdegegner, in diesem Fall zu verpflichten, die geforderten Informationen amtswegig zu beschaffen“, vom ursprünglichen Beschwerdegegenstand (Recht auf Auskunft gegenüber dem Magistrat XXXX ) nicht gedeckt sei. Im Hinblick auf die Verantwortlichkeit im gegenständlichen Fall werde neben den Ausführungen im Bescheid und im angeführten Verfahren D124.2311 zu Informationszwecken auf das Vorabentscheidungsverfahren in der Rs C-638/23 hingewiesen.
2. Die belangte Behörde machte von der Möglichkeit einer Beschwerdevorentscheidung nicht Gebrauch, legte die Beschwerde samt den bezughabenden Verwaltungsakten dem Bundesverwaltungsgericht zur Entscheidung vor, wobei sie in einer Beschwerdebeantwortung den angefochtenen Bescheid verteidigte und ergänzend ausführte, dass der nunmehrige Antrag der Beschwerdeführerin „die zusätzliche datenschutzrechtliche Verantwortlichkeit des BMI festzustellen, den Bescheid der erstinstanzlichen Behörde in diesem Punkt aufzuheben und den erstinstanzlichen Beschwerdegegner, in diesem Fall zu verpflichten, die geforderten Informationen amtswegig zu beschaffen“, vom ursprünglichen Beschwerdegegenstand (Recht auf Auskunft gegenüber dem Magistrat römisch 40 ) nicht gedeckt sei. Im Hinblick auf die Verantwortlichkeit im gegenständlichen Fall werde neben den Ausführungen im Bescheid und im angeführten Verfahren D124.2311 zu Informationszwecken auf das Vorabentscheidungsverfahren in der Rs C-638/23 hingewiesen.
3. Das Bundesverwaltungsgericht übermittelte die Beschwerde der mitbeteiligten Partei im Wege der Beschwerdemitteilung

§ 10Vw

GVG zur Kenntnis- und Stellungnahme.9. Das Bundesverwaltungsgericht übermittelte die Beschwerde der mitbeteiligten Partei im Wege der Beschwerdemitteilung

Paragraph 10, VwGVG zur Kenntnis- und Stellungnahme.

1. Die mitbeteiligte Partei erstattete eine Beschwerdebeantwortung, in welcher vorgebracht wurde, dass die bisher geäußerte Rechtsansicht, wonach keine datenschutzrechtliche Verantwortlichkeit der mitbeteiligten Partei in Wahrnehmung der Aufgaben des Bürgermeisters als Passbehörde für das IDR insgesamt sowie für die thematisierten Abfragen dritter Stellen bestehe, aufrechterhalten werde. Dies – wie vorgebracht – deshalb, da die mitbeteiligte Partei faktisch nicht über die Einräumung von Zugriffsberechtigungen auf das IDR entscheiden könne (Art. 4 Z 7 DSGVO). Diese Entscheidungsfunktion komme ausschließlich dem Bundesminister für Inneres zu. Die diesem im Passgesetz vorgesehene Rolle als Auftragsverarbeiter (§ 22b Abs. 1b PassG), der aufgrund dieser Rolle bloß auf Weisung der ihm unterstellten Passbehörden handle, entspreche nicht der Realität und habe aufgrund des Anwendungsvorrangs des Unionsrecht unangewendet zu bleiben. Das PassG sehe in § 22b Abs. 1a weiters vor, dass die Auskunft der jeweiligen Passbehörde auf ihren Verantwortungsbereich, also auf Daten jener Verfahren, die sie führe/geführt habe, beschränkt sei. Die beschwerdegegenständliche Übermittlung von Daten vom BMI an den Dachverband der Sozialversicherungsträger unterliege gerade nicht dem Verantwortungsbereich der mitbeteiligten Partei. Die Rechtsansicht der Beschwerdeführerin, dass Einschränkungen des Auskunftsrechts iSd Art. 15 DSGVO – wie in § 22b Abs. 1a PassG vorgesehen – unionsrechtswidrig seien, treffe nicht zu, da Art. 23 DSGVO derartige gesetzliche Einschränkungen erlaube. Entgegen der Argumentation in der Parteibeschwerde bestehe daher aufgrund der fehlenden Entscheidungsmöglichkeit gerade keine gemeinsame Verantwortlichkeit der mitbeteiligten Partei mit dem BMI im Zusammenhang mit Abfragen des IDR durch Dritte. Die Beschwerdeführerin übersehe in ihrer Argumentation, dass eine allfällige datenschutzrechtliche gemeinsame Verantwortlichkeit genau nach den Entscheidungsbefugnissen über Zwecke und Mittel von Datenverarbeitungen differenziert zu bestimmen wäre. Die bloße Behauptung in der Parteibeschwerde, alle Passbehörden wären gemeinsam mit dem BMI, das nach § 22b Abs. 1b PassG nur Auftragsverarbeiter sei, für das IDR (vollumfänglich) gemeinsam datenschutzrechtlich verantwortlich, könne daher nicht zutreffen. In diesem Zusammenhang werde erneut auf die fehlenden Entscheidungsmöglichkeiten der mitbeteiligten Partei im Zusammenhang mit der Berechtigungsvergabe zur Abfrage des IDR durch Dritte verwiesen. Eine gemeinsame Verantwortlichkeit des BMI und der Passbehörden könne auch weder aus einem „üblicherweise einvernehmlichen Handeln und einer Abstimmung“ zwischen dem BMI als oberster Passbehörde und den Passbehörden auf Ebene der Bürgermeister*innen noch aus einer Beteiligung der Länder an Begutachtungsverfahren zu bundesgesetzlichen Vorschriften abgeleitet werden.
2. Die mitbeteiligte Partei erstattete eine Beschwerdebeantwortung, in welcher vorgebracht wurde, dass die bisher geäußerte Rechtsansicht, wonach keine datenschutzrechtliche Verantwortlichkeit der mitbeteiligten Partei in Wahrnehmung der Aufgaben des Bürgermeisters als Passbehörde für das IDR insgesamt sowie für die thematisierten Abfragen dritter Stellen bestehe, aufrechterhalten werde. Dies – wie vorgebracht – deshalb, da die mitbeteiligte Partei faktisch nicht über die Einräumung von Zugriffsberechtigungen auf das IDR entscheiden könne (Artikel 4, Ziffer 7, DSGVO). Diese Entscheidungsfunktion komme ausschließlich dem Bundesminister für Inneres zu. Die diesem im Passgesetz vorgesehene Rolle als Auftragsverarbeiter (Paragraph 22 b, Absatz eins b, PassG), der aufgrund dieser Rolle bloß auf Weisung der ihm unterstellten Passbehörden handle, entspreche nicht der Realität und habe aufgrund des Anwendungsvorrangs des Unionsrecht unangewendet zu bleiben. Das PassG sehe in Paragraph 22 b, Absatz eins a, weiters vor, dass die Auskunft der jeweiligen Passbehörde auf ihren Verantwortungsbereich, also auf Daten jener Verfahren, die sie führe/geführt habe, beschränkt sei. Die beschwerdegegenständliche Übermittlung von Daten vom BMI an den Dachverband der Sozialversicherungsträger unterliege gerade nicht dem Verantwortungsbereich der mitbeteiligten Partei. Die Rechtsansicht der Beschwerdeführerin, dass Einschränkungen des Auskunftsrechts iSd Artikel 15, DSGVO – wie in Paragraph 22 b, Absatz eins a, PassG vorgesehen – unionsrechtswidrig seien, treffe nicht zu, da Artikel 23, DSGVO derartige gesetzliche Einschränkungen erlaube. Entgegen der Argumentation in der Parteibeschwerde bestehe daher aufgrund der fehlenden Entscheidungsmöglichkeit gerade keine gemeinsame Verantwortlichkeit der mitbeteiligten Partei mit dem BMI im Zusammenhang mit Abfragen des IDR durch Dritte. Die Beschwerdeführerin übersehe in ihrer Argumentation, dass eine allfällige datenschutzrechtliche gemeinsame Verantwortlichkeit genau nach den Entscheidungsbefugnissen über Zwecke und Mittel von Datenverarbeitungen differenziert zu bestimmen wäre. Die bloße Behauptung in der Parteibeschwerde, alle Passbehörden wären gemeinsam mit dem BMI, das nach Paragraph 22 b, Absatz eins b, PassG nur Auftragsverarbeiter sei, für das IDR (vollumfänglich) gemeinsam datenschutzrechtlich verantwortlich, könne daher nicht zutreffen. In diesem Zusammenhang werde erneut auf die fehlenden Entscheidungsmöglichkeiten der mitbeteiligten Partei im Zusammenhang mit der Berechtigungsvergabe zur Abfrage des IDR durch Dritte verwiesen. Eine gemeinsame Verantwortlichkeit des BMI und der Passbehörden könne auch weder aus einem „üblicherweise einvernehmlichen Handeln und einer Abstimmung“ zwischen dem BMI als oberster Passbehörde und den Passbehörden auf Ebene der Bürgermeister*innen noch aus einer Beteiligung der Länder an Begutachtungsverfahren zu bundesgesetzlichen Vorschriften abgeleitet werden. Die von der Beschwerdeführerin geforderte Feststellung der datenschutzrechtlichen Verantwortlichkeit des BMI überschreite den gegenständlichen Verfahrensgegenstand, bei dem es um die – behauptete – Unvollständigkeit der erteilten datenschutzrechtlichen Auskunft gehe. Dieser Antrag werde daher als unzulässig zurückzuweisen sein. Die beantragte Verpflichtung der mitbeteiligten Partei zur Beschaffung von Protokolldaten, die sich auf Abfragen des IDR durch Dritte beziehen, werde als unbegründet abzuweisen sein, da die mitbeteiligte Partei keine datenschutzrechtliche Verantwortung für die Abfragen Dritter habe.
3. Das Bundesverwaltungsgericht gewährte mit Schreiben vom 18.12.2024 Parteiengehör zur Beschwerdebeantwortung der mitbeteiligten Partei, in der Folge langte jedoch keine weitere Stellungnahme der Beschwerdeführerin beim Bundesverwaltungsgericht ein. II. Das Bundeverwaltungsgericht hat erwogen:römisch zwei. Das Bundeverwaltungsgericht hat erwogen:
4. Feststellungen: Es wird von den Ausführungen oben unter Punkt I. zum Verfahrensgang (Verwaltungsgeschehen) und Sachverhalt, insbesondere von den Feststellungen der belangten Behörde im angefochtenen Bescheid, ausgegangen.Es wird von den Ausführungen oben unter Punkt römisch eins. zum Verfahrensgang (Verwaltungsgeschehen) und Sachverhalt, insbesondere von den Feststellungen der belangten Behörde im angefochtenen Bescheid, ausgegangen. Damit steht insbesondere fest, dass sowohl die Sicherheitsbehörden als auch der Dachverband der österreichischen Sozialversicherungsträger eine automatische Zugriffsmöglichkeit auf Daten des zentralen Identitätsdokumentenregisters (IDR), so auch wie vorliegend auf das Lichtbild der Beschwerdeführerin, zum Zweck der Verfahrensführung bzw. Dokumentenausstellung haben, die keiner Zustimmung und keines Verarbeitungsvorganges innerhalb der mitbeteiligten Partei bedarf. Die Entscheidungsfunktion über die Einräumung von Zugriffmöglichkeiten auf das IDR kommt dem BMI zu, die mitbeteiligte Partei hat als Passbehörde auf die Vergabe von EDV-Rollen für die Sicherheitsbehörden und den Dachverband der österreichischen Sozialversicherungsträger im IDR weder einen rechtlichen noch einen technischen Einfluss und sie verfügt auch über keinerlei Protokollierungsdaten zu diesen Zugriffen.
5. Beweiswürdigung: Die Feststellungen ergeben sich aus den vorgelegten Verwaltungsakten sowie dem gegenständlichen Gerichtsakt, insbesondere aus dem angefochtenen Bescheid. Die für die Entscheidung wesentlichen Umstände im Tatsachenbereich sind geklärt und die relevanten Ermittlungsergebnisse und Urkunden liegen in den vorgelegten Verwaltungsakten ein. Die belangte Behörde hat ein mängelfreies, ordnungsgemäßes Ermittlungsverfahren durchgeführt und in der Begründung des angefochtenen Bescheides den maßgeblichen Sachverhalt in Übereinstimmung mit der Aktenlage richtig festgestellt. Diesem Sachverhalt und der Beweiswürdigung trat die Beschwerdeführerin in ihrer Parteibeschwerde nicht bzw. mit bloß unsubstantiiertem Vorbringen entgegen. Damit steht der entscheidungswesentliche Sachverhalt aber fest. Einer weiteren Klärung des Sachverhaltes unter Aufnahme weiterer Beweise und Durchführung einer mündlichen Verhandlung bedarf es daher nicht.
6. Rechtliche Beurteilung: Zu A) 3.1.

Art. 130Abs.

1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1.

Artikel 130

, Absatz eins, Ziffer eins, B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Datenschutzgesetz (DSG) idg

F entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 27, Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.).

§ 58Abs. 2 Vw

GVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.).

Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden

Art. 130Abs.

1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden

Artikel 130

, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. 3.

1. Zu den Prozessvoraussetzungen: Die Beschwerde wurde fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor. 3.
2. In der Sache: 3.3.
3. Rechtsgrundlagen: 3.3.1.
4. Art. 4 DSGVO lautet auszugsweise:3.3.1.
5. Artikel 4, DSGVO lautet auszugsweise: „Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:
6. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
7. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
8. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;“
9. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet; 3.3.1.
10. Art. 15 DSGVO lautet:3.3.1.
11. Artikel 15, DSGVO lautet: „Auskunftsrecht der betroffenen Person

Artikel 22

Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Artikel 46im Zusammenhang mit der Übermittlung unterrichtet zu werden.

Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“ 3.3.1.

1. Art. 26 DSGVO lautet:3.3.1.
2. Artikel 26, DSGVO lautet: „Gemeinsam Verantwortliche

dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten

den Artikeln 13 und 14 nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für die betroffenen Personen angegeben werden.

Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt.

Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen.“ 3.3.1.4. Relevante Bestimmungen des Passgesetzes 1992 lauten auszugsweise samt Überschrift: Verarbeitung personenbezogener Daten anlässlich der Antragstellung und in lokalen Anwendungen § 22a.

§ 9des E-Government-Gesetzes (E-Gov

G), BGBl. I Nr. 10/2004,m) das bereichsspezifische Personenkennzeichen (bPK)

Paragraph 9, des E-Government-Gesetzes (E-GovG), Bundesgesetzblatt Teil eins, Nr. 10 aus 2004,, (Anm.: lit. n aufgehoben durch Art. 1 Z 21, BGBl. I Nr. 123/2021)Anmerkung, Litera n, aufgehoben durch Artikel eins, Ziffer 21,, Bundesgesetzblatt Teil eins, Nr. 123 aus 2021,) des Antragstellers zum Zwecke der Einbringung dieser Daten in den Reisepass oder Personalausweis zu verarbeiten und diese Daten hiefür dem Auftragsverarbeiter

§ 3Abs.

6 zu übermitteln.des Antragstellers zum Zwecke der Einbringung dieser Daten in den Reisepass oder Personalausweis zu verarbeiten und diese Daten hiefür dem Auftragsverarbeiter

Paragraph 3, Absatz 6, zu übermitteln. Verarbeitung personenbezogener Daten im Rahmen der zentralen Evidenz § 22b.

Art. 4Z 7 in Verbindung mit Art.

26 Abs. 1 DSGVO ermächtigt, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach § 22a Abs. 1 mit Ausnahme der lit. k sowie ab dem Zeitpunkt der AusstellungParagraph 22 b,

Artikel 4

, Ziffer 7, in Verbindung mit Artikel 26, Absatz eins, DSGVO ermächtigt, die für die Wahrnehmung der ihnen nach diesem Bundesgesetz übertragenen Aufgaben erforderlichen personenbezogenen Daten nach Paragraph 22 a, Absatz eins, mit Ausnahme der Litera k, sowie ab dem Zeitpunkt der Ausstellung

1. a)die Ausstellungsbehörde,
2. b)das Ausstellungsdatum,
3. c)die Pass- oder Personalausweisnummer,
4. d)die Gültigkeitsdauer,
5. e)den Geltungsbereich,
6. f)das bereichsspezifische Personenkennzeichen (bPK, § 9 E-GovG),
7. f)das bereichsspezifische Personenkennzeichen (bPK, Paragraph 9, E-GovG),
8. g)besondere für das Ausstellungsverfahren notwendige Informationen sowie
9. h)einen Vermerk über ein laufendes Verfahren nach diesem Bundesgesetz gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff hat, die dieser von den anderen Verantwortlichen zur Verfügung gestellt wurden. Zweck dieser Verarbeitung ist es, eine Behörde

Abs. 4 über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen.gemeinsam in der Art zu verarbeiten, dass jeder Verantwortliche auch auf jene Daten in der Datenverarbeitung Zugriff hat, die dieser von den anderen Verantwortlichen zur Verfügung gestellt wurden. Zweck dieser Verarbeitung ist es, eine Behörde

Absatz 4, über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen.

dem ersten Satz unzuständigen Verantwortlichen wahr, ist er an den zuständigen Verantwortlichen zu verweisen.

Art. 4Z 8 in Verbindung mit Art.

28 Abs. 1 DSGVO aus. Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten

Art. 28Abs.

3 lit. a bis h DSGVO wahrzunehmen. In dieser Funktion hat er datenqualitätssichernde Maßnahmen zu setzen, wie insbesondere Hinweise auf eine mögliche Identität zweier ähnlicher Datensätze oder die Schreibweise von Adressen zu geben. Zudem ist er berechtigt, weitere Auftragsverarbeiter in Anspruch zu nehmen.

Artikel 4, Ziffer 8, in Verbindung mit Artikel 28, Absatz eins, DSGVO aus.

Er ist in dieser Funktion verpflichtet, die Datenschutzpflichten

Artikel 28, Absatz 3, Litera a bis h DSGVO wahrzunehmen.

In dieser Funktion hat er datenqualitätssichernde Maßnahmen zu setzen, wie insbesondere Hinweise auf eine mögliche Identität zweier ähnlicher Datensätze oder die Schreibweise von Adressen zu geben. Zudem ist er berechtigt, weitere Auftragsverarbeiter in Anspruch zu nehmen.

§§ 14oder 15 versagt oder entzogen worden ist oder2.

der betroffenen Person ein Reisepass oder Passersatz

Paragraphen 14, oder 15 versagt oder entzogen worden ist oder

1. die Passbehörde über die Anordnung zur Abnahme eines Reisedokuments nach § 107 des Bundesgesetzes über das gerichtliche Verfahren in Rechtsangelegenheiten außer Streitsachen (Außerstreitgesetz – AußStrG), BGBl. I Nr. 111/2003, oder den Widerruf einer solchen Maßnahme unterrichtet wird.
2. die Passbehörde über die Anordnung zur Abnahme eines Reisedokuments nach Paragraph 107, des Bundesgesetzes über das gerichtliche Verfahren in Rechtsangelegenheiten außer Streitsachen (Außerstreitgesetz – AußStrG), Bundesgesetzblatt Teil eins, Nr. 111 aus 2003,, oder den Widerruf einer solchen Maßnahme unterrichtet wird. Zweck dieser Verarbeitung ist die Feststellung der Identität von Personen und die Verhinderung missbräuchlicher Verarbeitung von Reisedokumenten sowie die Information der Behörden über bestehende Versagungs- und Entziehungsgründe. Für die Verwendung der Lichtbilddaten gilt § 22a Abs. 3 letzter Satz sinngemäß.Zweck dieser Verarbeitung ist die Feststellung der Identität von Personen und die Verhinderung missbräuchlicher Verarbeitung von Reisedokumenten sowie die Information der Behörden über bestehende Versagungs- und Entziehungsgründe. Für die Verwendung der Lichtbilddaten gilt Paragraph 22 a, Absatz 3, letzter Satz sinngemäß.

Z 2 gespeicherten Lichtbilds ist mit Ausnahme der Beauskunftung nur innerhalb von sechs Monaten, nachdem das Lichtbild erstmals in der zentralen Evidenz verarbeitet wurde, zulässig.zu verarbeiten. Ein Abruf der personenbezogenen Daten ist nur anhand der in Paragraph 22 a, Absatz 3, genannten Suchkriterien zulässig. Die Verwendung eines

Ziffer 2, gespeicherten Lichtbilds ist mit Ausnahme der Beauskunftung nur innerhalb von sechs Monaten, nachdem das Lichtbild erstmals in der zentralen Evidenz verarbeitet wurde, zulässig.

Abs. 1 und 2 verarbeitete Daten bestimmter Personen an die Passbehörden für Zwecke von Verfahren nach diesem Bundesgesetz, an die Stammzahlenregisterbehörde zum Zwecke des elektronischen Datennachweises

§ 18Abs. 1 E-Gov

G, an die Sicherheitsbehörden, ordentliche Gerichte und staatsanwaltschaftliche Behörden für deren Tätigkeit im Dienste der Strafrechtspflege übermittelt werden. Im Falle der Einräumung einer Möglichkeit zum automatisierten Abruf der personenbezogenen Daten ist ein solcher nur anhand der in § 22a Abs. 3 genannten Suchkriterien zu gestatten. Sonst sind Übermittlungen nur zulässig, wenn hiefür eine ausdrückliche gesetzliche Ermächtigung besteht.

Absatz eins und 2 verarbeitete Daten bestimmter Personen an die Passbehörden für Zwecke von Verfahren nach diesem Bundesgesetz, an die Stammzahlenregisterbehörde zum Zwecke des elektronischen Datennachweises

Paragraph 18, Absatz eins, E-GovG, an die Sicherheitsbehörden, ordentliche Gerichte und staatsanwaltschaftliche Behörden für deren Tätigkeit im Dienste der Strafrechtspflege übermittelt werden. Im Falle der Einräumung einer Möglichkeit zum automatisierten Abruf der personenbezogenen Daten ist ein solcher nur anhand der in Paragraph 22 a, Absatz 3, genannten Suchkriterien zu gestatten. Sonst sind Übermittlungen nur zulässig, wenn hiefür eine ausdrückliche gesetzliche Ermächtigung besteht.

Art. 21

DSGVO sowie kein Recht auf Einschränkung der Verarbeitung

Art. 18DSGVO. Darüber sind die Betroffenen in geeigneter Weise zu informieren.

Artikel 21

, DSGVO sowie kein Recht auf Einschränkung der Verarbeitung

Artikel 18, DSGVO. Darüber sind die Betroffenen in geeigneter Weise zu informieren.

Art. 26

DSGVO, das eine Art datenschutzrechtlicher „Solidarhaftung“ darstelle, und der Idee der DSGVO, dass es einem Betroffenen einfach möglich sein müsse, sämtliche seiner Rechte nach dieser Verordnung möglichst einfach wahrzunehmen.Die Beschwerdeführerin hält dem zusammengefasst entgegen, die Argumentation widerspreche dem Konzept der „gemeinsam Verantwortlichen“

Artikel 26

, DSGVO, das eine Art datenschutzrechtlicher „Solidarhaftung“ darstelle, und der Idee der DSGVO, dass es einem Betroffenen einfach möglich sein müsse, sämtliche seiner Rechte nach dieser Verordnung möglichst einfach wahrzunehmen. Die Beschwerdeführerin ist mit ihren Ausführungen jedoch nicht im Recht: 3.3.2.3.

Art. 4

Z 7 DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.3.3.2.3.

Artikel 4

, Ziffer 7, DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Bei der Ausrichtung der Definition als Verantwortlicher – als jene Person oder Stelle, die über Zweck(

1. e)und Mittel der Verarbeitung entscheidet – handelt sich im Regelfall um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird. Wesentliches Kriterium ist somit stets die Bestimmung von Zweck und Mittel der Verarbeitung (Hödl in Knyrim, DatKomm Art. 4 DSGVO Rz 87; in diesem Sinne auch Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO Rz 16). Bei der Ausrichtung der Definition als Verantwortlicher – als jene Person oder Stelle, die über Zweck(
2. e)und Mittel der Verarbeitung entscheidet – handelt sich im Regelfall um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird. Wesentliches Kriterium ist somit stets die Bestimmung von Zweck und Mittel der Verarbeitung (Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 87; in diesem Sinne auch Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 7, DSGVO Rz 16). Der EuGH hält in ständiger Rechtsprechung fest, dass der Begriff des Verantwortlichen weit definiert ist, um einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten. Weiters hat der EuGH ausgesprochen, dass der Begriff auch mehrere an der Datenverarbeitung beteiligte Akteure erfassen kann (wobei die Personen in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein können) und dass jede Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel der Datenverarbeitung mitwirkt, als Verantwortlicher angesehen werden kann. Hingegen können Personen für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel festlegen, nicht als Verantwortliche angesehen werden. Die Verantwortlichkeit ist auf Vorgänge der Datenverarbeitung beschränkt, für die der Betreffende tatsächlich über die Zwecke und Mittel entscheidet (zum Ganzen VwGH 27.06.2023, Ro 2023/04/0013, Rz 22 mit Verweis auf EuGH 29.07.2019, C-40/17, Fashion ID). Auch nach der Rechtsprechung des Verwaltungsgerichtshofes ist für die Qualifikation als Auftraggeber (nunmehr Verantwortlicher) maßgeblich, wer die Entscheidung getroffen hat, die Daten zu verarbeiten (vgl. VwGH 18.03.2022, Ro 2020/04/0027, Rn. 21, mwN).Auch nach der Rechtsprechung des Verwaltungsgerichtshofes ist für die Qualifikation als Auftraggeber (nunmehr Verantwortlicher) maßgeblich, wer die Entscheidung getroffen hat, die Daten zu verarbeiten vergleiche VwGH 18.03.2022, Ro 2020/04/0027, Rn. 21, mwN). 3.3.2.4. Vor dem Hintergrund dieser Ausführungen wird deutlich, dass im vorliegenden Fall – in Übereinstimmung der Ausführungen der belangten Behörde im angefochtenen Bescheid – die mitbeteiligte Partei nicht als Verantwortliche iSd Art. 4 Z 7 DSGVO anzusehen ist:3.3.2.4. Vor dem Hintergrund dieser Ausführungen wird deutlich, dass im vorliegenden Fall – in Übereinstimmung der Ausführungen der belangten Behörde im angefochtenen Bescheid – die mitbeteiligte Partei nicht als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO anzusehen ist: Die Beschwerdeführerin moniert – wie oben ausgeführt – dass die Weitergabe des Lichtbildes an den Hauptverband der Sozialversicherungsträger sowie die Abfrage des Lichtbildes des Reisepasses XXXX am 20.03.2019 im Zuge eines Verwaltungsstrafverfahrens nicht von der mitbeteiligten Partei im Rahmen der erteilten Auskunft beauskunftet worden sei. Die Beschwerdeführerin moniert – wie oben ausgeführt – dass die Weitergabe des Lichtbildes an den Hauptverband der Sozialversicherungsträger sowie die Abfrage des Lichtbildes des Reisepasses römisch 40 am 20.03.2019 im Zuge eines Verwaltungsstrafverfahrens nicht von der mitbeteiligten Partei im Rahmen der erteilten Auskunft beauskunftet worden sei. Die mitbeteiligte Partei hat hierzu jedoch nachvollziehbar ausgeführt (und trat die Beschwerdeführerin dem auch nicht substantiiert entgegen), dass sowohl die Sicherheitsbehörden als auch der Dachverband der österreichischen Sozialversicherungsträger eine automatische Zugriffsmöglichkeit auf Daten des zentralen Identitätsdokumentenregisters (IDR), so auch wie vorliegend auf das Lichtbild der Beschwerdeführerin, zum Zweck der Verfahrensführung bzw. Dokumentenausstellung haben, die keiner Zustimmung und keines Verarbeitungsvorganges innerhalb der mitbeteiligten Partei bedarf. Die mitbeteiligte Partei hat zudem als Passbehörde auf die Vergabe von EDV-Rollen für die Sicherheitsbehörden und den Dachverband der österreichischen Sozialversicherungsträger im IDR nach den unbestritten gebliebenen Feststellungen weder einen rechtlichen noch einen technischen Einfluss und sie verfügt auch über keinerlei Protokollierungsdaten zu diesen Zugriffen. Im vorliegenden Fall haben somit Bedienstete der Sicherheitsbehörden bzw. Mitarbeiter des Dachverbands der Sozialversicherungsträger für die jeweilige Behörde bzw. entsprechend ihrer jeweiligen behördliche Zuständigkeit gewisse Abfragen aus dem IDR hinsichtlich des Lichtbildes der Beschwerdeführerin zu tätigen. Sie haben damit Zweck der Datenverarbeitung alleine ohne Einbindung bzw. Zutun der mitbeteiligten Partei bestimmt. Damit ist die jeweilige Sicherheitsbehörde bzw. der Dachverband der Sozialversicherungsträger als Verantwortliche(
3. r)iSd Art. 4 Z 7 DSGVO anzusehen. Da sich die Datenschutzbeschwerde – wie oben festgehalten – auch nur auf die mitbeteiligte Partei als Beschwerdegegnerin bezog, kann auch dahingestellt bleiben, ob der BMI aufgrund seiner Entscheidungsfunktion betreffend Zugriffberechtigungen auf das IDR als zusätzlicher Verantwortlicher dieser Datenverarbeitungen anzusehen wäre. Im vorliegenden Fall haben somit Bedienstete der Sicherheitsbehörden bzw. Mitarbeiter des Dachverbands der Sozialversicherungsträger für die jeweilige Behörde bzw. entsprechend ihrer jeweiligen behördliche Zuständigkeit gewisse Abfragen aus dem IDR hinsichtlich des Lichtbildes der Beschwerdeführerin zu tätigen. Sie haben damit Zweck der Datenverarbeitung alleine ohne Einbindung bzw. Zutun der mitbeteiligten Partei bestimmt. Damit ist die jeweilige Sicherheitsbehörde bzw. der Dachverband der Sozialversicherungsträger als Verantwortliche(
4. r)iSd Artikel 4, Ziffer 7, DSGVO anzusehen. Da sich die Datenschutzbeschwerde – wie oben festgehalten – auch nur auf die mitbeteiligte Partei als Beschwerdegegnerin bezog, kann auch dahingestellt bleiben, ob der BMI aufgrund seiner Entscheidungsfunktion betreffend Zugriffberechtigungen auf das IDR als zusätzlicher Verantwortlicher dieser Datenverarbeitungen anzusehen wäre. Entgegen den Ausführungen der Beschwerdeführerin steht dem auch § 22b Abs. 1 PassG nicht entgegen, zumal diese Bestimmung (lediglich) die gemeinsame Verantwortlichkeit der Passbehörden im Sinne dieser Bestimmung festlegt. Es handelt sich jedoch weder bei den Sicherheitsbehörden noch beim Dachverband der Sozialversicherungsträger um eine Passbehörde im Sinne des PassG. Zudem scheidet im vorliegenden Fall jedenfalls eine gemeinsame Verantwortlichkeit mit dem BMI (sofern dieser als Verantwortlicher anzusehen wäre) für Datenabfragen Dritter aus dem IDR aus, zumal – wie oben ausgeführt – die mitbeteiligte Partei nicht gemeinsam mit dem BMI über die Einräumung von Zugriffmöglichkeiten auf das IDR entscheidet und somit nicht die Zwecke/Mittel dieser Datenverarbeitungen Dritter iSd Art. 4 Z 7 DSGVO bestimmt. Im Übrigen legt § 22b Abs. 1 PassG den Zweck dieser Verarbeitung dahin fest, eine Behörde

Abs. 4 leg.cit. über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen, weshalb die Norm zur Bestimmung der Verantwortlicheneigenschaft im vorliegenden Fall nicht einschlägig ist. Entgegen den Ausführungen der Beschwerdeführerin steht dem auch Paragraph 22 b, Absatz eins, PassG nicht entgegen, zumal diese Bestimmung (lediglich) die gemeinsame Verantwortlichkeit der Passbehörden im Sinne dieser Bestimmung festlegt. Es handelt sich jedoch weder bei den Sicherheitsbehörden noch beim Dachverband der Sozialversicherungsträger um eine Passbehörde im Sinne des PassG. Zudem scheidet im vorliegenden Fall jedenfalls eine gemeinsame Verantwortlichkeit mit dem BMI (sofern dieser als Verantwortlicher anzusehen wäre) für Datenabfragen Dritter aus dem IDR aus, zumal – wie oben ausgeführt – die mitbeteiligte Partei nicht gemeinsam mit dem BMI über die Einräumung von Zugriffmöglichkeiten auf das IDR entscheidet und somit nicht die Zwecke/Mittel dieser Datenverarbeitungen Dritter iSd Artikel 4, Ziffer 7, DSGVO bestimmt. Im Übrigen legt Paragraph 22 b, Absatz eins, PassG den Zweck dieser Verarbeitung dahin fest, eine Behörde

Absatz 4, leg.cit. über die erfolgte Ausstellung eines Reisepasses oder Personalausweises oder über ein Verfahren nach diesem Bundesgesetz in Kenntnis zu setzen, weshalb die Norm zur Bestimmung der Verantwortlicheneigenschaft im vorliegenden Fall nicht einschlägig ist. Es ist der belangten Behörde daher beizupflichten, wenn sie ausführt, dass der mitbeteiligten Partei beschwerdegegenständlich keine Verantwortlicheneigenschaft iSd Art. 4 Z 7 DSGVO für die nicht beauskunfteten Datenverarbeitungen (Abfrage/Übermittlung von Lichtbildern der Beschwerdeführerin aus dem IDR von/durch Sicherbehörden sowie den Dachverband der Sozialversicherungsträger) zukommt und folglich diesbezüglich keine Mangelhaftigkeit der Auskunft iSd Art. 15 DSGVO erblickt werden kann. Die Parteibeschwerde enthält zudem kein weiteres Vorbringen, aus welchen anderen Gründen die Auskunft als mangelhaft anzusehen wäre, derartige Umstände können auch vom Bundesverwaltungsgericht nicht erkannt werden. Es ist der belangten Behörde daher beizupflichten, wenn sie ausführt, dass der mitbeteiligten Partei beschwerdegegenständlich keine Verantwortlicheneigenschaft iSd Artikel 4, Ziffer 7, DSGVO für die nicht beauskunfteten Datenverarbeitungen (Abfrage/Übermittlung von Lichtbildern der Beschwerdeführerin aus dem IDR von/durch Sicherbehörden sowie den Dachverband der Sozialversicherungsträger) zukommt und folglich diesbezüglich keine Mangelhaftigkeit der Auskunft iSd Artikel 15, DSGVO erblickt werden kann. Die Parteibeschwerde enthält zudem kein weiteres Vorbringen, aus welchen anderen Gründen die Auskunft als mangelhaft anzusehen wäre, derartige Umstände können auch vom Bundesverwaltungsgericht nicht erkannt werden. Wenn die Beschwerdeführerin vorbringt, dass es der mitbeteiligten Partei im Rahmen der Amtshilfe durchaus möglich gewesen wäre, eine Auflistung der entsprechenden Übermittlungen beim BMI einzuholen, ist darauf zu verweisen, dass sich das Recht auf Auskunft

Art. 15

DSGVO nur auf beim Verantwortlichen zum Zeitpunkt der Stellung des Auskunftsbegehrens verfügbare Daten bezieht, sodass daraus auch keine nachträgliche „Erhebungspflicht“ durch den Verantwortlichen bei anderen Behörden/Stellen abgeleitet werden kann, die über die bei ihm verfügbaren Informationen hinausgehen. Dies steht auch nicht im Widerspruch zu dem in Art. 12 Abs. 2 erster Satz DSGVO normierten Erleichterungsgebot des Verantwortlichen. Dieses beinhaltet eine prozedurale Erleichterung der Ausübung des Auskunftsrechts (Bäcker in Kühling/Buchner [Hrsg.], DS-GVO [2018], Art. 12 Rz 25), etwa, dass elektronische Anträge gestellt werden können (vgl. ErwGr 59; Feiler/Forgó, EU-DSGVO, Art. 12 Rz 4). Eine Erleichterung in Form der Unterstützung bei der inhaltlichen Durchsetzung subjektiver Rechte gegen Dritte, etwa der von der Beschwerdeführerin geforderten, ist damit nicht geboten (vgl. dazu auch das hg. Erkenntnis vom 27.09.2019, W101 2139434-1/10E).Wenn die Beschwerdeführerin vorbringt, dass es der mitbeteiligten Partei im Rahmen der Amtshilfe durchaus möglich gewesen wäre, eine Auflistung der entsprechenden Übermittlungen beim BMI einzuholen, ist darauf zu verweisen, dass sich das Recht auf Auskunft

Artikel 15

, DSGVO nur auf beim Verantwortlichen zum Zeitpunkt der Stellung des Auskunftsbegehrens verfügbare Daten bezieht, sodass daraus auch keine nachträgliche „Erhebungspflicht“ durch den Verantwortlichen bei anderen Behörden/Stellen abgeleitet werden kann, die über die bei ihm verfügbaren Informationen hinausgehen. Dies steht auch nicht im Widerspruch zu dem in Artikel 12, Absatz 2, erster Satz DSGVO normierten Erleichterungsgebot des Verantwortlichen. Dieses beinhaltet eine prozedurale Erleichterung der Ausübung des Auskunftsrechts (Bäcker in Kühling/Buchner [Hrsg.], DS-GVO [2018], Artikel 12, Rz 25), etwa, dass elektronische Anträge gestellt werden können vergleiche ErwGr 59; Feiler/Forgó, EU-DSGVO, Artikel 12, Rz 4). Eine Erleichterung in Form der Unterstützung bei der inhaltlichen Durchsetzung subjektiver Rechte gegen Dritte, etwa der von der Beschwerdeführerin geforderten, ist damit nicht geboten vergleiche dazu auch das hg. Erkenntnis vom 27.09.2019, W101 2139434-1/10E). 3.3.2.

1. Soweit die Beschwerdeführerin auf eine mögliche Verfassungswidrigkeit näher genannter Bestimmungen des PassG hinweist und anregt, diese dem Verfassungsgerichtshof zur Prüfung vorzulegen, erschöpft sich ihr Vorbringen in dem pauschalen Vorbringen, das Gesetz entspreche nicht der Verwaltungspraxis (dem Legalitätsprinzip) nach Art. 18 Abs. 1 B-VG, womit die Beschwerdeführerin jedoch keine verfassungsrechtlichen Bedenken bezüglich präjudizieller Bestimmungen aufzuzeigen vermochte. Solche Bedenken sind auch beim Bundesverwaltungsgericht nicht entstanden. Das Bundesverwaltungsgericht sieht sich aufgrund der gegenständlichen Beschwerde daher nicht veranlasst, einen Antrag auf Aufhebung der das Verfahren tragenden Rechtsnormen beim Verfassungsgerichtshof zu stellen.3.3.2.
2. Soweit die Beschwerdeführerin auf eine mögliche Verfassungswidrigkeit näher genannter Bestimmungen des PassG hinweist und anregt, diese dem Verfassungsgerichtshof zur Prüfung vorzulegen, erschöpft sich ihr Vorbringen in dem pauschalen Vorbringen, das Gesetz entspreche nicht der Verwaltungspraxis (dem Legalitätsprinzip) nach Artikel 18, Absatz eins, B-VG, womit die Beschwerdeführerin jedoch keine verfassungsrechtlichen Bedenken bezüglich präjudizieller Bestimmungen aufzuzeigen vermochte. Solche Bedenken sind auch beim Bundesverwaltungsgericht nicht entstanden. Das Bundesverwaltungsgericht sieht sich aufgrund der gegenständlichen Beschwerde daher nicht veranlasst, einen Antrag auf Aufhebung der das Verfahren tragenden Rechtsnormen beim Verfassungsgerichtshof zu stellen. 3.3.
3. Die behauptete Rechtswidrigkeit des Bescheides liegt daher nicht vor. Das Verfahren hat auch nicht ergeben, dass der Bescheid aus anderen, nicht geltend gemachten Gründen rechtswidrig wäre. Da dem angefochtenen Bescheid eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG somit nicht anhaftet, war die Beschwerde abzuweisen.3.3.
4. Die behauptete Rechtswidrigkeit des Bescheides liegt daher nicht vor. Das Verfahren hat auch nicht ergeben, dass der Bescheid aus anderen, nicht geltend gemachten Gründen rechtswidrig wäre. Da dem angefochtenen Bescheid eine Rechtswidrigkeit iSd Artikel 130, Absatz eins, Ziffer eins, B-VG somit nicht anhaftet, war die Beschwerde abzuweisen. 3.
5. Die Durchführung einer mündlichen Verhandlung konnte

§ 24Abs. 1 und Abs. 4 Vw

GVG entfallen. Im vorliegenden Fall liegt kein Parteiantrag auf Durchführung einer Verhandlung vor. Es konnte zudem von einer Verhandlung abgesehen werden, da die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt und die Notwendigkeit der Durchführung einer Verhandlung auch im Hinblick auf Art. 6 Abs. 1 EMRK und Art. 47 GRC nicht ersichtlich ist. Beschwerdegegenständlich ist der entscheidungsrelevante Sachverhalt anhand der Aktenlage feststehend und geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung hier nicht entgegen. Aus diesen Gründen war es auch von Amts wegen nicht erforderlich, eine öffentliche mündliche Verhandlung durchzuführen.3.4. Die Durchführung einer mündlichen Verhandlung konnte

Paragraph 24, Absatz eins und Absatz 4, VwGVG entfallen. Im vorliegenden Fall liegt kein Parteiantrag auf Durchführung einer Verhandlung vor. Es konnte zudem von einer Verhandlung abgesehen werden, da die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt und die Notwendigkeit der Durchführung einer Verhandlung auch im Hinblick auf Artikel 6, Absatz eins, EMRK und Artikel 47, GRC nicht ersichtlich ist. Beschwerdegegenständlich ist der entscheidungsrelevante Sachverhalt anhand der Aktenlage feststehend und geklärt. Zu einer Lösung von Rechtsfragen ist im Sinne der Judikatur des EGMR eine mündliche Verhandlung nicht geboten. Die EMRK und die GRC stehen der Abstandnahme von einer mündlichen Verhandlung hier nicht entgegen. Aus diesen Gründen war es auch von Amts wegen nicht erforderlich, eine öffentliche mündliche Verhandlung durchzuführen. Zu B)

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision

Art. 133Abs.

4 B-VG nicht zulässig ist.Die vorliegende Entscheidung hängt nicht von der Lösung einer Rechtsfrage ab, der grundsätzliche Bedeutung zukommt. Weder fehlt es an einer Rechtsprechung des Verwaltungsgerichtshofes noch weicht die gegenständliche Entscheidung von der Rechtsprechung des Verwaltungsgerichtshofes ab; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Es liegen auch keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfragen vor. Es war daher auszusprechen, dass die Revision

Artikel 133, Absatz 4, B-VG nicht zulässig ist. European Case Law Identifier

ECLI:AT:BVWG:2025:W108.2286343.1.00