RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum10.02.2025 GeschäftszahlW287 2265979-1 Spruch, W287 2265979-1/13E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richt

Art. 133Abs.

4 B-VG nicht zulässig.B)

Artikel 133, Absatz 4, B-VG nicht zulässig. , , Text

Entscheidungsgründe:, Entscheidungsgründe: Verfahrensgegenständlich ist die Frage, ob die XXXX (in Folge: „Beschwerdeführerin“), die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt hat, indem die Beschwerdeführerin personenbezogene Daten der mitbeteiligten Partei im Zusammenhang mit einer Paketlieferung einem unbeteiligten Dritten via XXXX -Terminaviso und Zuordnung zum XXXX -Konto des Dritten offengelegt und diesem somit eine Verfügungsbefugnis über das Paket der mitbeteiligten Partei eingeräumt hat.Verfahrensgegenständlich ist die Frage, ob die römisch 40 (in Folge: „Beschwerdeführerin“), die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung verletzt hat, indem die Beschwerdeführerin personenbezogene Daten der mitbeteiligten Partei im Zusammenhang mit einer Paketlieferung einem unbeteiligten Dritten via römisch 40 -Terminaviso und Zuordnung zum römisch 40 -Konto des Dritten offengelegt und diesem somit eine Verfügungsbefugnis über das Paket der mitbeteiligten Partei eingeräumt hat. I. Verfahrensgang:römisch eins. Verfahrensgang:

1. Mit Eingabe vom 22.04.2022 erhob die mitbeteiligte Partei Beschwerde bei der Datenschutzbehörde (in Folge „belangte Behörde“) und brachte vor, dass die Beschwerdeführerin sie in ihrem Grundrecht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt habe. Die mitbeteiligte Partei habe eine an sie adressierte Paketlieferung durch die Beschwerdeführerin zugestellt erhalten. Dieses Paket sei ohne ihre Zustimmung automatisch dem XXXX -Konto ihres Mitbewohners hinzugefügt worden und er habe ein XXXX -Terminaviso an seine E-Mail-Adresse bekommen. Sie selbst habe als Empfängerin hingegen keine App-Benachrichtigung oder E-Mail der Beschwerdeführerin zum betroffenen Paket erhalten. Ihr Mitbewohner wisse nun ohne ihre Zustimmung, in welchem Online-Shop sie etwas bestellt habe, wann das Paket zugestellt werde und könne das Paket beliebig umverfügen.
2. Mit Eingabe vom 22.04.2022 erhob die mitbeteiligte Partei Beschwerde bei der Datenschutzbehörde (in Folge „belangte Behörde“) und brachte vor, dass die Beschwerdeführerin sie in ihrem Grundrecht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG verletzt habe. Die mitbeteiligte Partei habe eine an sie adressierte Paketlieferung durch die Beschwerdeführerin zugestellt erhalten. Dieses Paket sei ohne ihre Zustimmung automatisch dem römisch 40 -Konto ihres Mitbewohners hinzugefügt worden und er habe ein römisch 40 -Terminaviso an seine E-Mail-Adresse bekommen. Sie selbst habe als Empfängerin hingegen keine App-Benachrichtigung oder E-Mail der Beschwerdeführerin zum betroffenen Paket erhalten. Ihr Mitbewohner wisse nun ohne ihre Zustimmung, in welchem Online-Shop sie etwas bestellt habe, wann das Paket zugestellt werde und könne das Paket beliebig umverfügen.
3. Mit Stellungnahme vom 18.7.2022 teilte die Beschwerdeführerin mit, dass die mitbeteiligte Partei bei der Firma XXXX (in Folge: „Versenderin“) eine Bestellung getätigt habe. Die Versenderin habe die Beschwerdeführerin als Subunternehmerin mit dem Versand und der Zustellung des Pakets beauftragt. Im Rahmen der Beauftragung übermittle der Versender üblicherweise einen Datensatz mit den für den Versand des Pakets wesentlichen Daten, dazu gehörten Name und Anschrift des Versenders, Name und Anschrift des Empfängers und – sofern vorhanden – Daten für die Kontaktaufnahme mit dem Empfänger wie bspw. Telefonnummer und E-Mail-Adresse. Diese Daten würden vereinbarungsgemäß durch die Beschwerdeführerin verwendet, um den Paketempfänger auf die bevorstehende Lieferung mittels „ XXXX -Terminaviso“ aufmerksam zu machen und – sofern der Paketempfänger dies wünsche – andere Zustelloptionen zu wählen, wie beispielsweise die Zustellung in einen Paketshop oder zu einem „Lieblingsnachbarn“. Die Auswahl des XXXX -Kontos, in welchem das Paket sichtbar und dessen Inhaber über die bevorstehende Paketzustellung informiert werde, erfolge primär über die E-Mail-Adresse. Der übermittelte Datensatz beinhaltete den Namen und die Adresse der mitbeteiligten Partei, allerdings die E-Mail-Adresse des Mitbewohners. Das Paket sei dem XXXX -Konto des Mitbewohners zugeordnet worden und darin sichtbar gewesen, da die von der Versenderin angegebene E-Mail-Adresse dessen XXXX -Konto zugeordnet sei. Die Beschwerdeführerin verlasse sich als Subunternehmerin darauf, dass der Paketversender korrekte Daten übermittle und verarbeite diese Daten weiter. Die Zuordnung und die nachfolgende Aussendung des XXXX -Terminavisos seien exakt auf die von der Versenderin angegebene E-Mail-Adresse erfolgt.
4. Mit Stellungnahme vom 18.7.2022 teilte die Beschwerdeführerin mit, dass die mitbeteiligte Partei bei der Firma römisch 40 (in Folge: „Versenderin“) eine Bestellung getätigt habe. Die Versenderin habe die Beschwerdeführerin als Subunternehmerin mit dem Versand und der Zustellung des Pakets beauftragt. Im Rahmen der Beauftragung übermittle der Versender üblicherweise einen Datensatz mit den für den Versand des Pakets wesentlichen Daten, dazu gehörten Name und Anschrift des Versenders, Name und Anschrift des Empfängers und – sofern vorhanden – Daten für die Kontaktaufnahme mit dem Empfänger wie bspw. Telefonnummer und E-Mail-Adresse. Diese Daten würden vereinbarungsgemäß durch die Beschwerdeführerin verwendet, um den Paketempfänger auf die bevorstehende Lieferung mittels „ römisch 40 -Terminaviso“ aufmerksam zu machen und – sofern der Paketempfänger dies wünsche – andere Zustelloptionen zu wählen, wie beispielsweise die Zustellung in einen Paketshop oder zu einem „Lieblingsnachbarn“. Die Auswahl des römisch 40 -Kontos, in welchem das Paket sichtbar und dessen Inhaber über die bevorstehende Paketzustellung informiert werde, erfolge primär über die E-Mail-Adresse. Der übermittelte Datensatz beinhaltete den Namen und die Adresse der mitbeteiligten Partei, allerdings die E-Mail-Adresse des Mitbewohners. Das Paket sei dem römisch 40 -Konto des Mitbewohners zugeordnet worden und darin sichtbar gewesen, da die von der Versenderin angegebene E-Mail-Adresse dessen römisch 40 -Konto zugeordnet sei. Die Beschwerdeführerin verlasse sich als Subunternehmerin darauf, dass der Paketversender korrekte Daten übermittle und verarbeite diese Daten weiter. Die Zuordnung und die nachfolgende Aussendung des römisch 40 -Terminavisos seien exakt auf die von der Versenderin angegebene E-Mail-Adresse erfolgt.
5. Mit Bescheid vom 24.10.2022 gab die belangte Behörde der Beschwerde der mitbeteiligten Partei statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem personenbezogene Daten der mitbeteiligten Partei aus einer Paketlieferung in der irrtümlichen Annahme, dass der beauftragende Versender die Kommunikationsdaten korrekt eingetragen habe, einem unbeteiligten Dritten offengelegt und dem Dritten eine Zugriffsbefugnis auf den Datensatz der mitbeteiligten Partei zu Paket-Nr. XXXX eingeräumt habe. Durch die Zuordnung des Pakets zum XXXX -Konto des Mitbewohners und den Versand des XXXX -Terminavisos, sei die Tatsache, dass die mitbeteiligte Partei bei der Versenderin eine Bestellung vorgenommen hatte und wann das Paket einlangen sollte, an einen unbeteiligten Dritten offengelegt worden, ohne dass dazu eine Notwendigkeit bestanden habe oder die mitbeteiligte Partei dies beauftragt habe. Die Verarbeitung „fehlerhafter Daten“ – möge deren Erfassung auch in der Verantwortung des Versenders gelegen sein – könne bereits denklogisch weder durch Vertrag, noch durch ein (überwiegend) berechtigtes Interesse der Beschwerdeführerin gedeckt sein.
6. Mit Bescheid vom 24.10.2022 gab die belangte Behörde der Beschwerde der mitbeteiligten Partei statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt habe, indem personenbezogene Daten der mitbeteiligten Partei aus einer Paketlieferung in der irrtümlichen Annahme, dass der beauftragende Versender die Kommunikationsdaten korrekt eingetragen habe, einem unbeteiligten Dritten offengelegt und dem Dritten eine Zugriffsbefugnis auf den Datensatz der mitbeteiligten Partei zu Paket-Nr. römisch 40 eingeräumt habe. Durch die Zuordnung des Pakets zum römisch 40 -Konto des Mitbewohners und den Versand des römisch 40 -Terminavisos, sei die Tatsache, dass die mitbeteiligte Partei bei der Versenderin eine Bestellung vorgenommen hatte und wann das Paket einlangen sollte, an einen unbeteiligten Dritten offengelegt worden, ohne dass dazu eine Notwendigkeit bestanden habe oder die mitbeteiligte Partei dies beauftragt habe. Die Verarbeitung „fehlerhafter Daten“ – möge deren Erfassung auch in der Verantwortung des Versenders gelegen sein – könne bereits denklogisch weder durch Vertrag, noch durch ein (überwiegend) berechtigtes Interesse der Beschwerdeführerin gedeckt sein.
7. Dagegen richtet sich die gegenständliche Beschwerde der Beschwerdeführerin vom 02.12.2022, in der sie im Wesentlichen vorbrachte, dass nicht sie selbst die mitbeteiligte Partei in Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG verletzt habe, sondern die Versenderin. Diese sei als Verantwortliche iSd Art. 4 Z 7 DSGVO anzusehen, die Beschwerdeführerin handle lediglich als Auftragsverarbeiterin iSd Art. 4 Z 8 DSGVO. Sie habe am 22.4.2022 einen Datensatz der Versenderin erhalten, der einerseits einen Versandauftrag über ein Paket enthalten habe und andererseits den Auftrag, die mitbeteiligte Partei per XXXX -Terminaviso an die E-Mail-Adresse XXXX über die voraussichtliche Zustellung zu informieren. Die Beschwerdeführerin entscheide weder darüber, ob ein XXXX -Terminaviso an einen Empfänger gesendet werde oder nicht, noch welche E-Mail-Adresse eines Empfängers herangezogen werde. Diese Entscheidung werde ausschließlich vom Versender getroffen, der den Datensatz prüfen müsse, bevor er diesen an die Beschwerdeführerin weiterleite.
8. Dagegen richtet sich die gegenständliche Beschwerde der Beschwerdeführerin vom 02.12.2022, in der sie im Wesentlichen vorbrachte, dass nicht sie selbst die mitbeteiligte Partei in Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG verletzt habe, sondern die Versenderin. Diese sei als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO anzusehen, die Beschwerdeführerin handle lediglich als Auftragsverarbeiterin iSd Artikel 4, Ziffer 8, DSGVO. Sie habe am 22.4.2022 einen Datensatz der Versenderin erhalten, der einerseits einen Versandauftrag über ein Paket enthalten habe und andererseits den Auftrag, die mitbeteiligte Partei per römisch 40 -Terminaviso an die E-Mail-Adresse römisch 40 über die voraussichtliche Zustellung zu informieren. Die Beschwerdeführerin entscheide weder darüber, ob ein römisch 40 -Terminaviso an einen Empfänger gesendet werde oder nicht, noch welche E-Mail-Adresse eines Empfängers herangezogen werde. Diese Entscheidung werde ausschließlich vom Versender getroffen, der den Datensatz prüfen müsse, bevor er diesen an die Beschwerdeführerin weiterleite.
9. Mit Parteiengehör vom 04.07.2024 wurde der mitbeteiligten Partei aufgetragen, binnen zwei Wochen sämtliche Unterlagen vorzulegen, aus denen sich ergebe, welche Daten die mitbeteiligte Partei der Versenderin übermittelt hat. Die mitbeteiligte Partei ist der Aufforderung auch nach Urgenz vom 06.08.2024 nicht nachgekommen.
10. Am 24.01.2025 wurde eine öffentliche mündliche Verhandlung vor dem Bundesverwaltungsgericht durchgeführt, zu der sowohl die mitbeteiligte Partei, die ausdrücklich aufgefordert worden war, zur Verhandlung zu erscheinen und die bereits mit Parteiengehör angeforderten Unterlagen mitzubringen, als auch die belangte Behörde unentschuldigt nicht erschienen. In der mündlichen Verhandlung legte die Beschwerdeführerin ein Schreiben der Versenderin vor, in dem diese bestätigte, die E-Mail-Adresse XXXX fälschlich im Rahmen des XXXX -Auftrages übermittelt zu haben.
11. Am 24.01.2025 wurde eine öffentliche mündliche Verhandlung vor dem Bundesverwaltungsgericht durchgeführt, zu der sowohl die mitbeteiligte Partei, die ausdrücklich aufgefordert worden war, zur Verhandlung zu erscheinen und die bereits mit Parteiengehör angeforderten Unterlagen mitzubringen, als auch die belangte Behörde unentschuldigt nicht erschienen. In der mündlichen Verhandlung legte die Beschwerdeführerin ein Schreiben der Versenderin vor, in dem diese bestätigte, die E-Mail-Adresse römisch 40 fälschlich im Rahmen des römisch 40 -Auftrages übermittelt zu haben. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
12. Feststellungen: 1.1 Die Beschwerdeführerin ist ein international tätiger Versanddienstleister für Geschäfts- und Privatkunden. Im Zuge der Beauftragung von Versanddienstleistungen bietet die Beschwerdeführerin ihren Versandkunden ein gesondert buchbares Service „ XXXX “ an. Der Versandkunde stellt der Beschwerdeführerin dazu Kontaktdaten (E-Mail-Adresse oder Telefonnummer) des Paketempfängers zur Verfügung. Die Beschwerdeführerin verwendet die Daten um dem Paketempfänger mittels XXXX -Terminaviso die bevorstehende Lieferung anzukündigen. Dem Empfänger ist es dadurch ferner möglich, das Paket beliebig umzuverfügen. Ein XXXX -Terminaviso erfolgt unabhängig vom Bestehen eines XXXX -Kundenkontos und wird an die vom Versender bekanntgegebene E-Mail-Adresse oder Telefonnummer zugestellt.1.1 Die Beschwerdeführerin ist ein international tätiger Versanddienstleister für Geschäfts- und Privatkunden. Im Zuge der Beauftragung von Versanddienstleistungen bietet die Beschwerdeführerin ihren Versandkunden ein gesondert buchbares Service „ römisch 40 “ an. Der Versandkunde stellt der Beschwerdeführerin dazu Kontaktdaten (E-Mail-Adresse oder Telefonnummer) des Paketempfängers zur Verfügung. Die Beschwerdeführerin verwendet die Daten um dem Paketempfänger mittels römisch 40 -Terminaviso die bevorstehende Lieferung anzukündigen. Dem Empfänger ist es dadurch ferner möglich, das Paket beliebig umzuverfügen. Ein römisch 40 -Terminaviso erfolgt unabhängig vom Bestehen eines römisch 40 -Kundenkontos und wird an die vom Versender bekanntgegebene E-Mail-Adresse oder Telefonnummer zugestellt. 1.
13. Die mitbeteiligte Partei bestellte im April 2022 bei der Versenderin Waren. Die Versenderin beauftragte die Beschwerdeführerin mit der Lieferung und Zustellung der Waren an die mitbeteiligte Partei. Ferner beauftragte sie am 22.04.2022 die Übermittlung eines XXXX -Terminavisos (fälschlich) an die E-Mail-Adresse XXXX . Aufgrund dieser E-Mail-Adresse wurde die gegenständliche Sendung dem XXXX -Konto des Mitbewohners der mitbeteiligten Partei zugeordnet und diesem die Verfügungsbefugnis über die Sendung eingeräumt.1.
14. Die mitbeteiligte Partei bestellte im April 2022 bei der Versenderin Waren. Die Versenderin beauftragte die Beschwerdeführerin mit der Lieferung und Zustellung der Waren an die mitbeteiligte Partei. Ferner beauftragte sie am 22.04.2022 die Übermittlung eines römisch 40 -Terminavisos (fälschlich) an die E-Mail-Adresse römisch 40 . Aufgrund dieser E-Mail-Adresse wurde die gegenständliche Sendung dem römisch 40 -Konto des Mitbewohners der mitbeteiligten Partei zugeordnet und diesem die Verfügungsbefugnis über die Sendung eingeräumt.
15. Beweiswürdigung: 2.
16. Beweis wurde erhoben durch Einsicht in den Verwaltungsakt der belangten Behörde und in den Gerichtsakt des Bundesverwaltungsgerichts sowie durch Einvernahme des Geschäftsführers der Beschwerdeführerin sowie der Zeugen XXXX (Datenschutzbeauftragter der Beschwerdeführerin) und XXXX (IT-Leiter im Unternehmen der Beschwerdeführerin) im Rahmen der mündlichen Verhandlung am 24.01.2025.2.
17. Beweis wurde erhoben durch Einsicht in den Verwaltungsakt der belangten Behörde und in den Gerichtsakt des Bundesverwaltungsgerichts sowie durch Einvernahme des Geschäftsführers der Beschwerdeführerin sowie der Zeugen römisch 40 (Datenschutzbeauftragter der Beschwerdeführerin) und römisch 40 (IT-Leiter im Unternehmen der Beschwerdeführerin) im Rahmen der mündlichen Verhandlung am 24.01.
18. 2.
19. Die Feststellungen zu den Rahmenbedingungen und zur Funktionsweise des XXXX -Terminavisos gründen auf den übereinstimmenden Aussagen des Geschäftsführers der Beschwerdeführerin sowie der Zeugen XXXX und XXXX in der mündlichen Verhandlung am 24.01.
20. Der erkennende Senat sieht keine Veranlassung, an diesen (unbestritten gebliebenen) Angaben zu zweifeln.2.
21. Die Feststellungen zu den Rahmenbedingungen und zur Funktionsweise des römisch 40 -Terminavisos gründen auf den übereinstimmenden Aussagen des Geschäftsführers der Beschwerdeführerin sowie der Zeugen römisch 40 und römisch 40 in der mündlichen Verhandlung am 24.01.
22. Der erkennende Senat sieht keine Veranlassung, an diesen (unbestritten gebliebenen) Angaben zu zweifeln. 2.
23. Dass die Versenderin fälschlich ein XXXX -Terminaviso an die E-Mail-Adresse XXXX beauftragte, ergibt sich aus der in der mündlichen Verhandlung vorgelegten E-Mail der Versenderin (Beilage ./A zum Verhandlungsprotokoll). In dieser E-Mail erklärt die Versenderin, wie es zu der Verwechslung kommen konnte, und räumt eine irrtümliche Übermittlung der E-Mail-Adresse des Mitbewohners der mitbeteiligten Partei ein.2.
24. Dass die Versenderin fälschlich ein römisch 40 -Terminaviso an die E-Mail-Adresse römisch 40 beauftragte, ergibt sich aus der in der mündlichen Verhandlung vorgelegten E-Mail der Versenderin (Beilage ./A zum Verhandlungsprotokoll). In dieser E-Mail erklärt die Versenderin, wie es zu der Verwechslung kommen konnte, und räumt eine irrtümliche Übermittlung der E-Mail-Adresse des Mitbewohners der mitbeteiligten Partei ein. Ebenso ergibt sich die Beauftragung des XXXX -Terminavisos an die E-Mail-Adresse XXXX aus dem in der Stellungnahme vom 18.07.2022 vorgelegten Datensatz. Entsprechend den übereinstimmenden Angaben der Zeugen und des Geschäftsführers der Beschwerdeführerin in der mündlichen Verhandlung ergibt sich die Beauftragung des gegenständlichen XXXX -Terminavisos unmittelbar aus dem übermittelten Datensatz aus der Zeile „ XXXX “ in Verbindung mit der E-Mail-Adresse XXXX (VP S. 7 und 9). Ebenso ergibt sich die Beauftragung des römisch 40 -Terminavisos an die E-Mail-Adresse römisch 40 aus dem in der Stellungnahme vom 18.07.2022 vorgelegten Datensatz. Entsprechend den übereinstimmenden Angaben der Zeugen und des Geschäftsführers der Beschwerdeführerin in der mündlichen Verhandlung ergibt sich die Beauftragung des gegenständlichen römisch 40 -Terminavisos unmittelbar aus dem übermittelten Datensatz aus der Zeile „ römisch 40 “ in Verbindung mit der E-Mail-Adresse römisch 40 (VP S. 7 und 9).
25. Rechtliche Beurteilung: Zu A) Beschwerdestattgabe: Die Beschwerdeführerin trat in ihrer Beschwerde der Ansicht der Datenschutzbehörde, die Beschwerdeführerin sei Verantwortliche hinsichtlich der Versendung des XXXX -Terminavisos im Wesentlichen mit dem Argument entgegen, dass sie weder bestimme, ob ein XXXX -Terminaviso an einen Paketempfänger versendet werde, noch an welche E-Mail-Adresse oder Telefonnummer es versendet werde. Diese Entscheidung obliege ausschließlich dem Versender, der ein gesondertes Entgelt für das XXXX -Terminaviso zu entrichten habe. Der Ansicht der Beschwerdeführerin ist zu folgen:Die Beschwerdeführerin trat in ihrer Beschwerde der Ansicht der Datenschutzbehörde, die Beschwerdeführerin sei Verantwortliche hinsichtlich der Versendung des römisch 40 -Terminavisos im Wesentlichen mit dem Argument entgegen, dass sie weder bestimme, ob ein römisch 40 -Terminaviso an einen Paketempfänger versendet werde, noch an welche E-Mail-Adresse oder Telefonnummer es versendet werde. Diese Entscheidung obliege ausschließlich dem Versender, der ein gesondertes Entgelt für das römisch 40 -Terminaviso zu entrichten habe. Der Ansicht der Beschwerdeführerin ist zu folgen: Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Art. 4 Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden. Demgegenüber wird als „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, angesehen (Art. 4 Z 8 DSGVO). Für die Qualifizierung als Auftragsverarbeiter müssen zwei Grundvoraussetzungen erfüllt sein: Er muss in Bezug auf den für die Verarbeitung Verantwortlichen eine eigenständige bzw. separate Einheit sein und die Verarbeitung personenbezogener Daten erfolgt im Auftrag des Verantwortlichen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 8 DSGVO (Stand 1.12.2020, rdb.at) Rz 2). Der Auftragsverarbeiter darf die Daten nicht anders als nach den Anweisungen des Verantwortlichen verarbeiten. Entscheidendes Kriterium für die Feststellung des Verantwortlichen für die Verarbeitung personenbezogener Daten ist die Entscheidungsgewalt über Zweck und Mittel der Verarbeitung (Klabunde/Horváth in Ehmann/Selmayr, DSGVO Datenschutz-Grundverordnung Art. 4 Rz 39). Dennoch können die Anweisungen des Verantwortlichen einen gewissen Ermessensspielraum eröffnen, wie den Interessen des Verantwortlichen gedient werden kann, so dass der Auftragsverarbeiter die am besten geeigneten technischen und organisatorischen Mittel auswählen kann (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 8 DSGVO (Stand 1.12.2020, rdb.at) Rz 5).Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Artikel 4, Ziffer 7, DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden. Demgegenüber wird als „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, angesehen (Artikel 4, Ziffer 8, DSGVO). Für die Qualifizierung als Auftragsverarbeiter müssen zwei Grundvoraussetzungen erfüllt sein: Er muss in Bezug auf den für die Verarbeitung Verantwortlichen eine eigenständige bzw. separate Einheit sein und die Verarbeitung personenbezogener Daten erfolgt im Auftrag des Verantwortlichen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 8, DSGVO (Stand 1.12.2020, rdb.at) Rz 2). Der Auftragsverarbeiter darf die Daten nicht anders als nach den Anweisungen des Verantwortlichen verarbeiten. Entscheidendes Kriterium für die Feststellung des Verantwortlichen für die Verarbeitung personenbezogener Daten ist die Entscheidungsgewalt über Zweck und Mittel der Verarbeitung (Klabunde/Horváth in Ehmann/Selmayr, DSGVO Datenschutz-Grundverordnung Artikel 4, Rz 39). Dennoch können die Anweisungen des Verantwortlichen einen gewissen Ermessensspielraum eröffnen, wie den Interessen des Verantwortlichen gedient werden kann, so dass der Auftragsverarbeiter die am besten geeigneten technischen und organisatorischen Mittel auswählen kann (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 8, DSGVO (Stand 1.12.2020, rdb.at) Rz 5). Für den konkreten Fall ergibt sich daraus Folgendes: Dass es sich bei der Beschwerdeführerin um eine von der Versenderin verschiedene Einheit handelt, ist evident. Die Versenderin hat den Auftrag zum Versand des Pakets sowie zur Versendung eines XXXX -Terminavisos an die mitbeteiligte Partei erteilt und die Mittel selbst bestimmt, indem sie entschied, dass ein separat kostenpflichtiges XXXX -Terminaviso an die E-Mail-Adresse XXXX versendet werden soll. Die Rolle der Beschwerdeführerin war lediglich ausführend. Eine maßgebliche eigenverantwortliche Entscheidungsgewalt der Beschwerdeführerin ist nicht hervorgekommen. Daran vermag auch der Umstand, dass das XXXX -Terminaviso mit „Liebe Grüße Ihr XXXX Team“ unterfertigt ist, oder die Tatsache, dass die Beschwerdeführerin es als „ihr“ Produkt bewirbt, nichts zu ändern.Die Versenderin hat den Auftrag zum Versand des Pakets sowie zur Versendung eines römisch 40 -Terminavisos an die mitbeteiligte Partei erteilt und die Mittel selbst bestimmt, indem sie entschied, dass ein separat kostenpflichtiges römisch 40 -Terminaviso an die E-Mail-Adresse römisch 40 versendet werden soll. Die Rolle der Beschwerdeführerin war lediglich ausführend. Eine maßgebliche eigenverantwortliche Entscheidungsgewalt der Beschwerdeführerin ist nicht hervorgekommen. Daran vermag auch der Umstand, dass das römisch 40 -Terminaviso mit „Liebe Grüße Ihr römisch 40 Team“ unterfertigt ist, oder die Tatsache, dass die Beschwerdeführerin es als „ihr“ Produkt bewirbt, nichts zu ändern. Die Beschwerdeführerin hat somit weder über den Zweck noch die Mittel der Datenverarbeitung entschieden und kann für sie daher nicht Verantwortliche iSd. Art. 4 Z 7 DSGVO sein, sondern agierte im konkreten Fall lediglich als Auftragsverarbeiter der Versenderin, den keine eigenständige Verantwortlichkeit trifft. Die Beschwerdeführerin hat somit weder über den Zweck noch die Mittel der Datenverarbeitung entschieden und kann für sie daher nicht Verantwortliche iSd. Artikel 4, Ziffer 7, DSGVO sein, sondern agierte im konkreten Fall lediglich als Auftragsverarbeiter der Versenderin, den keine eigenständige Verantwortlichkeit trifft. Sofern die Datenschutzbehörde im angefochtenen Bescheid argumentiert, dass die Verarbeitung „fehlerhafter“ Daten bereits denklogisch weder durch Vertrag noch durch ein überwiegendes berechtigtes Interesse der Beschwerdeführerin gedeckt sein könne, ist ihr entgegenzuhalten, dass der Beschwerdeführerin als bloßer Auftragsverarbeiterin nicht die Fehlerhaftigkeit der im Auftrag der Versenderin verarbeiteten Daten zugerechnet werden kann. Einerseits ist für den erkennenden Senat nicht ersichtlich, wie die Beschwerdeführerin eine Überprüfung der von der Versenderin übermittelten E-Mail-Adresse vornehmen hätte sollen, zumal selbst bei Kenntnis der tatsächlichen Adresse der mitbeteiligten Partei nicht verifizierbar gewesen wäre, ob das XXXX -Terminaviso auch an diese übermittelt werden sollte. Ein XXXX -Terminaviso kann nach der allgemeinen Lebenserfahrung und den Ausführungen der Beschwerdeführerin in der mündlichen Verhandlung zufolge durchaus auch gewollt an vom Empfänger oder Besteller eines Pakets verschiedene Personen (zB Haushaltsangehörige) übermittelt werden. Andererseits war es der Beschwerdeführerin als Auftragsverarbeiterin untersagt, über die Anweisungen des Verantwortlichen hinauszugehen und eigene Zwecke und Mittel der Verarbeitung zu bestimmen (vgl. Art. 28 Abs. 10 DSGVO, Art. 29 DSGVO). Schließlich überzeugt auch das Argument der Datenschutzbehörde, die Beschwerdeführerin hätte eine Zuordnung zum XXXX -Konto nicht allein auf Basis der E-Mail-Adresse vornehmen dürfen, nicht: Wie festgestellt, wird ein XXXX -Terminaviso unabhängig von einem allfälligen XXXX -Konto an die vom Versender mitgeteilte E-Mail-Adresse versendet. Auf eine Zuordnung zum XXXX -Konto kam es daher im konkreten Fall nicht an, denn der Mitbewohner hätte das XXXX -Terminaviso unabhängig davon als E-Mail erhalten und sodann über das Paket verfügen können.Sofern die Datenschutzbehörde im angefochtenen Bescheid argumentiert, dass die Verarbeitung „fehlerhafter“ Daten bereits denklogisch weder durch Vertrag noch durch ein überwiegendes berechtigtes Interesse der Beschwerdeführerin gedeckt sein könne, ist ihr entgegenzuhalten, dass der Beschwerdeführerin als bloßer Auftragsverarbeiterin nicht die Fehlerhaftigkeit der im Auftrag der Versenderin verarbeiteten Daten zugerechnet werden kann. Einerseits ist für den erkennenden Senat nicht ersichtlich, wie die Beschwerdeführerin eine Überprüfung der von der Versenderin übermittelten E-Mail-Adresse vornehmen hätte sollen, zumal selbst bei Kenntnis der tatsächlichen Adresse der mitbeteiligten Partei nicht verifizierbar gewesen wäre, ob das römisch 40 -Terminaviso auch an diese übermittelt werden sollte. Ein römisch 40 -Terminaviso kann nach der allgemeinen Lebenserfahrung und den Ausführungen der Beschwerdeführerin in der mündlichen Verhandlung zufolge durchaus auch gewollt an vom Empfänger oder Besteller eines Pakets verschiedene Personen (zB Haushaltsangehörige) übermittelt werden. Andererseits war es der Beschwerdeführerin als Auftragsverarbeiterin untersagt, über die Anweisungen des Verantwortlichen hinauszugehen und eigene Zwecke und Mittel der Verarbeitung zu bestimmen vergleiche Artikel 28, Absatz 10, DSGVO, Artikel 29, DSGVO). Schließlich überzeugt auch das Argument der Datenschutzbehörde, die Beschwerdeführerin hätte eine Zuordnung zum römisch 40 -Konto nicht allein auf Basis der E-Mail-Adresse vornehmen dürfen, nicht: Wie festgestellt, wird ein römisch 40 -Terminaviso unabhängig von einem allfälligen römisch 40 -Konto an die vom Versender mitgeteilte E-Mail-Adresse versendet. Auf eine Zuordnung zum römisch 40 -Konto kam es daher im konkreten Fall nicht an, denn der Mitbewohner hätte das römisch 40 -Terminaviso unabhängig davon als E-Mail erhalten und sodann über das Paket verfügen können. Es war daher spruchgemäß zu entscheiden. Zu B) Unzulässigkeit der Revision: Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. European Case Law IdentifierECLI:AT:BVWG:2025:W287.2265979.1.00