RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum31.03.2025 GeschäftszahlW137 2256492-1 Spruch, W137 2256492-1/21E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

§ 28Abs. 2 Vw

GVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen. Die Beschwerde wird

Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF als unbegründet abgewiesen. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

1. Mit verfahrenseinleitender Eingabe vom 16.12.2021, verbessert mit Schreiben vom 24.12.2021, erhob XXXX (= Beschwerdeführer vor dem Bundesverwaltungsgericht und vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen Verletzung im Recht auf Geheimhaltung. Begründend wurde im Wesentlichen ausgeführt, dass seine private E-Mail-Adresse von der mitbeteiligten Partei ohne seine Einwilligung an Dritte ( XXXX ) weitergegeben worden sei. Der Beschwerdeführer habe sich für einen Kurs bei der mitbeteiligten Partei angemeldet, woraufhin er am 14.05.2021 per E-Mail eine Anmeldebestätigung erhalten habe. Die mitbeteiligte Partei habe allerdings seine E-Mail-Adresse weitergegeben, bevor er die Möglichkeit gehabt habe, den allgemeinen Geschäftsbedingungen des Drittanbieters ( XXXX ) zuzustimmen. Diese Zustimmung sei seitens des Beschwerdeführers nicht erteilt worden.
2. Mit verfahrenseinleitender Eingabe vom 16.12.2021, verbessert mit Schreiben vom 24.12.2021, erhob römisch 40 (= Beschwerdeführer vor dem Bundesverwaltungsgericht und vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die römisch 40 (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen Verletzung im Recht auf Geheimhaltung. Begründend wurde im Wesentlichen ausgeführt, dass seine private E-Mail-Adresse von der mitbeteiligten Partei ohne seine Einwilligung an Dritte ( römisch 40 ) weitergegeben worden sei. Der Beschwerdeführer habe sich für einen Kurs bei der mitbeteiligten Partei angemeldet, woraufhin er am 14.05.2021 per E-Mail eine Anmeldebestätigung erhalten habe. Die mitbeteiligte Partei habe allerdings seine E-Mail-Adresse weitergegeben, bevor er die Möglichkeit gehabt habe, den allgemeinen Geschäftsbedingungen des Drittanbieters ( römisch 40 ) zuzustimmen. Diese Zustimmung sei seitens des Beschwerdeführers nicht erteilt worden.
3. Nach der Einräumung von Parteiengehör gab die mitbeteiligte Partei mit Stellungnahme vom 15.02.2022 im Wesentlichen an, dass der Beschwerdeführer über das XXXX bei der mitbeteiligten Partei den Lehrgang ,,Diplomausbildung Datenschutzbeauftragte/r‘‘ absolviert habe. Nicht die mitbeteiligte Partei, sondern das XXXX sei somit Verantwortlicher der gegenständlichen Datenverarbeitung.
4. Nach der Einräumung von Parteiengehör gab die mitbeteiligte Partei mit Stellungnahme vom 15.02.2022 im Wesentlichen an, dass der Beschwerdeführer über das römisch 40 bei der mitbeteiligten Partei den Lehrgang ,,Diplomausbildung Datenschutzbeauftragte/r‘‘ absolviert habe. Nicht die mitbeteiligte Partei, sondern das römisch 40 sei somit Verantwortlicher der gegenständlichen Datenverarbeitung. Die personenbezogenen Daten seien hier zum Zweck der Abwicklung von Seminaren, Schulungen bzw. ( XXXX )- Maßnahmen verarbeitet worden. Rechtsgrundlage der Verarbeitung sei zum einen Art. 6 Abs. 1 lit. b DSGVO zwecks Erfüllung des Vertrages sowie berechtigtem Interesse der mitbeteiligten Partei, welche gegenständlich Auftragsverarbeiterin sei, gewesen. Der Beschwerdeführer sei über den Umstand, dass seine E-Mail-Adresse für die korrekte Durchführung der Schulung verarbeitet werde, auch informiert worden. Im Zuge der Informationsveranstaltung sei er zudem in Kenntnis gesetzt worden, dass aufgrund der Covid-19-Pandemie die Schulung zumindest teilweise online stattfinden müsse. Die kontaktlose Übermittlung der Zugangsdaten per E-Mail an die private E-Mail-Adresse des Beschwerdeführers sei hierdurch zweckentsprechend gewesen.Die personenbezogenen Daten seien hier zum Zweck der Abwicklung von Seminaren, Schulungen bzw. ( römisch 40 )- Maßnahmen verarbeitet worden. Rechtsgrundlage der Verarbeitung sei zum einen Artikel 6, Absatz eins, Litera b, DSGVO zwecks Erfüllung des Vertrages sowie berechtigtem Interesse der mitbeteiligten Partei, welche gegenständlich Auftragsverarbeiterin sei, gewesen. Der Beschwerdeführer sei über den Umstand, dass seine E-Mail-Adresse für die korrekte Durchführung der Schulung verarbeitet werde, auch informiert worden. Im Zuge der Informationsveranstaltung sei er zudem in Kenntnis gesetzt worden, dass aufgrund der Covid-19-Pandemie die Schulung zumindest teilweise online stattfinden müsse. Die kontaktlose Übermittlung der Zugangsdaten per E-Mail an die private E-Mail-Adresse des Beschwerdeführers sei hierdurch zweckentsprechend gewesen.
5. Mit Stellungnahme wiederholte der Beschwerdeführer im Wesentlichen seine Angaben aus der Datenschutzbeschwerde.
6. Mit Bescheid vom 09.05.2022, GZ. D124.5589, 2022-0.227.082, wies die Datenschutzbehörde die Datenschutzbeschwerde vom 16.12.2021 ab. In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen: Der Beschwerdeführer sei vom XXXX zu dem von der mitbeteiligten Partei abgehaltenen Lehrgang ,,Diplomausbildung Datenschutzbeauftragte/r‘‘ angemeldet worden. Am 14.05.2021 um 08:29 Uhr habe der Beschwerdeführer per E-Mail eine Anmeldebestätigung für den Lehrgang erhalten, welcher am 17.05.2021 gestartet sei. Der Beschwerdeführer sei vom römisch 40 zu dem von der mitbeteiligten Partei abgehaltenen Lehrgang ,,Diplomausbildung Datenschutzbeauftragte/r‘‘ angemeldet worden. Am 14.05.2021 um 08:29 Uhr habe der Beschwerdeführer per E-Mail eine Anmeldebestätigung für den Lehrgang erhalten, welcher am 17.05.2021 gestartet sei. Die mitbeteiligte Partei nehme im Auftrag des XXXX Teilnehmer, so unter anderem auch den Beschwerdeführer, in den gegenständlichen Lehrgang auf. Aufgrund der Covid-19-Pandemie und den Vorgaben des XXXX sei der Lehrgang teilweise online über MS-Teams abgehalten worden. Dem Beschwerdeführer sei diese Vorgehensweise im Rahmen einer Informationsveranstaltung im Vorfeld mitgeteilt worden. Eine Abhaltung des Kurses in Präsenzform sei nur mit der Zustimmung des XXXX und der jeweiligen Covid-19-Maßnahmen zulässig gewesen. Im Rahmen der Erfüllung des Auftrages bezüglich des Ablaufes und der Durchführung des Lehrgangs habe sich die mitbeteiligte Partei an die Vorgaben des Auftraggebers, des XXXX , gehalten.Die mitbeteiligte Partei nehme im Auftrag des römisch 40 Teilnehmer, so unter anderem auch den Beschwerdeführer, in den gegenständlichen Lehrgang auf. Aufgrund der Covid-19-Pandemie und den Vorgaben des römisch 40 sei der Lehrgang teilweise online über MS-Teams abgehalten worden. Dem Beschwerdeführer sei diese Vorgehensweise im Rahmen einer Informationsveranstaltung im Vorfeld mitgeteilt worden. Eine Abhaltung des Kurses in Präsenzform sei nur mit der Zustimmung des römisch 40 und der jeweiligen Covid-19-Maßnahmen zulässig gewesen. Im Rahmen der Erfüllung des Auftrages bezüglich des Ablaufes und der Durchführung des Lehrgangs habe sich die mitbeteiligte Partei an die Vorgaben des Auftraggebers, des römisch 40 , gehalten. Für die Teilnahme an der Online-Ausbildung sei ein Benutzerkonto für die einzelnen Teilnehmer erforderlich gewesen. Bei der Einrichtung der MS-Teams-Benutzerkonten habe die mitbeteiligte Partei die Zugangsdaten für das Benutzerkonto des Beschwerdeführers an dessen private E-Mail-Adresse („ XXXX “) geschickt. Der Beschwerdeführer habe zwar eine E-Mail mit den Zugangsdaten für den Kurs von der Noreply- XXXX -E-Mail-Adresse an seine private E-Mail-Adresse am 12.05.2021 um 15:19 Uhr erhalten, jedoch sei seine private E-Mail-Adresse nicht für weitere Zwecke verwendet worden.Für die Teilnahme an der Online-Ausbildung sei ein Benutzerkonto für die einzelnen Teilnehmer erforderlich gewesen. Bei der Einrichtung der MS-Teams-Benutzerkonten habe die mitbeteiligte Partei die Zugangsdaten für das Benutzerkonto des Beschwerdeführers an dessen private E-Mail-Adresse („ römisch 40 “) geschickt. Der Beschwerdeführer habe zwar eine E-Mail mit den Zugangsdaten für den Kurs von der Noreply- römisch 40 -E-Mail-Adresse an seine private E-Mail-Adresse am 12.05.2021 um 15:19 Uhr erhalten, jedoch sei seine private E-Mail-Adresse nicht für weitere Zwecke verwendet worden. Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen Folgendes: Nach Art. 4 Z 8 DSGVO sei jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle Auftragsverarbeiter, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeite.Nach Artikel 4, Ziffer 8, DSGVO sei jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle Auftragsverarbeiter, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeite. Dabei sei das wesentliche Kriterium die Weisungsgebundenheit. Die Rolle des Auftragsverarbeiters ergebe sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden habe, personenbezogene Daten im Auftrag des Verantwortlichen zu verarbeiten.

Art. 29

DSGVO sei der aufgrund eines Auftrages tätige Auftragsverarbeiter weisungsgebunden. Er führe daher die Verarbeitung für den Verantwortlichen nicht als Dritter iSd Art. 4 Abs. 10 DSGVO durch, sondern bestehe vielmehr zwischen dem, den Auftrag erteilenden Verantwortlichen und seinem Auftragsverarbeiter ein „Innenverhältnis“. Die Verarbeitung durch den Auftragsverarbeiter werde deshalb grundsätzlich dem Verantwortlichen zugerechnet. Wie festgestellt, regle ein zwischen der mitbeteiligten Partei und dem XXXX abgeschlossener Vertrag, dass letzteres die für den Lehrgang notwendigen benötigten Daten verarbeiten dürfe. Die mitbeteiligte Partei habe die Daten des Beschwerdeführers im Rahmen einer Auftragsverarbeitervereinbarung mit dem XXXX nach dessen Vorgaben verarbeitet.

Artikel 29

, DSGVO sei der aufgrund eines Auftrages tätige Auftragsverarbeiter weisungsgebunden. Er führe daher die Verarbeitung für den Verantwortlichen nicht als Dritter iSd Artikel 4, Absatz 10, DSGVO durch, sondern bestehe vielmehr zwischen dem, den Auftrag erteilenden Verantwortlichen und seinem Auftragsverarbeiter ein „Innenverhältnis“. Die Verarbeitung durch den Auftragsverarbeiter werde deshalb grundsätzlich dem Verantwortlichen zugerechnet. Wie festgestellt, regle ein zwischen der mitbeteiligten Partei und dem römisch 40 abgeschlossener Vertrag, dass letzteres die für den Lehrgang notwendigen benötigten Daten verarbeiten dürfe. Die mitbeteiligte Partei habe die Daten des Beschwerdeführers im Rahmen einer Auftragsverarbeitervereinbarung mit dem römisch 40 nach dessen Vorgaben verarbeitet. Die mitbeteiligte Partei habe durch die Weitergabe der Daten innerhalb ihrer vom XXXX festgelegten vertraglichen Verpflichtungen gehandelt und nicht selbstständig über die Zwecke und Mittel der Verarbeitung bestimmt. Somit sei diese nicht

Art. 28Abs. 10 DSGVO als

Die mitbeteiligte Partei habe durch die Weitergabe der Daten innerhalb ihrer vom römisch 40 festgelegten vertraglichen Verpflichtungen gehandelt und nicht selbstständig über die Zwecke und Mittel der Verarbeitung bestimmt. Somit sei diese nicht

Artikel 28, Absatz 10, DSGVO als eigenständiger Verantwortlicher zu qualifizieren.

Mangels Verantwortlicheneigenschaft der mitbeteiligten Partei sei die Datenschutzbeschwerde daher spruchgemäß abzuweisen gewesen.

1. In der gegen diesen Bescheid fristgerecht erhobenen Beschwerde brachte der Beschwerdeführer im Wesentlichen vor: Entgegen der belangten Behörde vertrete er die Ansicht, dass im vorliegenden Fall die Verantwortlicheneigenschaft der mitbeteiligten Partei sehr wohl gegeben sei. Es sei Tatsache, dass seine personenbezogenen Daten für weitere Zwecke (z.B. Speicherung von Sprachdaten) verwendet worden seien. Auch in der Wahl der Mittel (MS-Teams) sei die Datenschutzverletzung der mitbeteiligten Partei zuzurechnen, weil sie selbständig darüber bestimmt habe. Darüber hinaus sei ein Vertrag zwischen dem XXXX und der mitbeteiligten Partei hinsichtlich des Datenschutzes nicht vorgelegt worden. Auch komme gegenständlich eine Weisung zur Verletzung des Rechts auf Geheimhaltung nicht in Betracht, weil eine solche die Nichtigkeit des Vertrages zur Folge hätte. Entgegen der belangten Behörde vertrete er die Ansicht, dass im vorliegenden Fall die Verantwortlicheneigenschaft der mitbeteiligten Partei sehr wohl gegeben sei. Es sei Tatsache, dass seine personenbezogenen Daten für weitere Zwecke (z.B. Speicherung von Sprachdaten) verwendet worden seien. Auch in der Wahl der Mittel (MS-Teams) sei die Datenschutzverletzung der mitbeteiligten Partei zuzurechnen, weil sie selbständig darüber bestimmt habe. Darüber hinaus sei ein Vertrag zwischen dem römisch 40 und der mitbeteiligten Partei hinsichtlich des Datenschutzes nicht vorgelegt worden. Auch komme gegenständlich eine Weisung zur Verletzung des Rechts auf Geheimhaltung nicht in Betracht, weil eine solche die Nichtigkeit des Vertrages zur Folge hätte.
2. Mit Schreiben der Datenschutzbehörde vom 23.06.2022 (hg eingelangt am 30.06.2022) wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin wurde im Wesentlichen auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt.
3. Mit Schreiben vom 09.08.2022 forderte das Bundesverwaltungsgericht beide beteiligten Parteien auf, binnen 2 Wochen eine Stellungnahme zum laufenden Verfahren abzugeben.
4. Binnen gesetzter Frist gab der Beschwerdeführer mit Stellungnahme vom 25.08.2022 im Wesentlichen an, dass die mitbeteiligte Partei Verantwortliche für die gegenständliche Datenverarbeitung sei, weil in der E-Mail als Absender XXXX angeführt werde mit dem Zusatz: „on behalf of your organization“. Zudem sei aus dem Informationsblatt abzuleiten, dass die mitbeteiligte Partei als eigenständige Verantwortliche zu qualifizieren sei, weil die darin enthaltenen Einwilligungserklärungen eine Verantwortlichenrolle voraussetzen würden. Auch seien die personenbezogenen Daten durch die mitbeteiligte Partei an XXXX weitergeleitet worden, weswegen sie als Auftraggeberin aufgetreten sei.
5. Binnen gesetzter Frist gab der Beschwerdeführer mit Stellungnahme vom 25.08.2022 im Wesentlichen an, dass die mitbeteiligte Partei Verantwortliche für die gegenständliche Datenverarbeitung sei, weil in der E-Mail als Absender römisch 40 angeführt werde mit dem Zusatz: „on behalf of your organization“. Zudem sei aus dem Informationsblatt abzuleiten, dass die mitbeteiligte Partei als eigenständige Verantwortliche zu qualifizieren sei, weil die darin enthaltenen Einwilligungserklärungen eine Verantwortlichenrolle voraussetzen würden. Auch seien die personenbezogenen Daten durch die mitbeteiligte Partei an römisch 40 weitergeleitet worden, weswegen sie als Auftraggeberin aufgetreten sei. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
6. Feststellungen: Die mitbeteiligte Partei hält im Auftrag des XXXX verschiedene Lehrgänge ab und der Beschwerdeführer ist im vorliegenden Fall vom XXXX zu dem von ihr abgehaltenen Lehrgang ,,Diplomausbildung Datenschutzbeauftragte/r‘‘ mit Beginn am 17.05.2021 angemeldet worden. Die diesbezügliche Anmeldebestätigung hat der Beschwerdeführer am 14.05.2021 erhalten. Dem Beschwerdeführer war stets bewusst, dass die Administration des Kurses seitens des XXXX erfolgt und dieses etwa auch die Anmeldung vornimmt.Die mitbeteiligte Partei hält im Auftrag des römisch 40 verschiedene Lehrgänge ab und der Beschwerdeführer ist im vorliegenden Fall vom römisch 40 zu dem von ihr abgehaltenen Lehrgang ,,Diplomausbildung Datenschutzbeauftragte/r‘‘ mit Beginn am 17.05.2021 angemeldet worden. Die diesbezügliche Anmeldebestätigung hat der Beschwerdeführer am 14.05.2021 erhalten. Dem Beschwerdeführer war stets bewusst, dass die Administration des Kurses seitens des römisch 40 erfolgt und dieses etwa auch die Anmeldung vornimmt. Aufgrund der Covid-19-Pandemie und den Vorgaben des XXXX ist der Lehrgang teilweise online über MS-Teams abgehalten worden, wobei diese Vorgangsweise dem Beschwerdeführer im Rahmen einer Informationsveranstaltung im Vorfeld mitgeteilt worden ist. Eine Abhaltung des Lehrgangs in Präsenzform war in diesem Zeitraum nur mit der Zustimmung des XXXX und der jeweiligen Covid-19-Maßnahmen zulässig. Die mitbeteiligte Partei hat sich im Rahmen der Erfüllung des Auftrages bezüglich des Ablaufes und der Durchführung des Lehrgangs an die Vorgaben ihres Auftraggebers gehalten.Aufgrund der Covid-19-Pandemie und den Vorgaben des römisch 40 ist der Lehrgang teilweise online über MS-Teams abgehalten worden, wobei diese Vorgangsweise dem Beschwerdeführer im Rahmen einer Informationsveranstaltung im Vorfeld mitgeteilt worden ist. Eine Abhaltung des Lehrgangs in Präsenzform war in diesem Zeitraum nur mit der Zustimmung des römisch 40 und der jeweiligen Covid-19-Maßnahmen zulässig. Die mitbeteiligte Partei hat sich im Rahmen der Erfüllung des Auftrages bezüglich des Ablaufes und der Durchführung des Lehrgangs an die Vorgaben ihres Auftraggebers gehalten. Für die Teilnahme an diesem – teilweise online abgehaltenen – Lehrgangs ist für die einzelnen Teilnehmer:innen ein Benutzerkonto erforderlich gewesen. Diese Benutzerkonten (E-Mail-Adresse) wurdens eigens und nur für diesen Zweck (praktisches Arbeiten im Lehrgang) für die Teilnehmer:innen angelegt. Eine Verknüpfung der Schulung mit einem echten persönlichen Konto wurde damit ausgeschlossen. Im Zuge der Einrichtung der MS-Teams-Benutzerkonten hat die mitbeteiligte Partei die Zugangsdaten für das Benutzerkonto des Beschwerdeführers an dessen private E-Mail-Adresse „ XXXX “ geschickt. So hat der Beschwerdeführer am 12.05.2021 um 15:19 Uhr von der Noreply- XXXX -E-Mail-Adresse eine E-Mail mit den Zugangsdaten für den Lehrgang an seine private E-Mail-Adresse erhalten. Für die Teilnahme an diesem – teilweise online abgehaltenen – Lehrgangs ist für die einzelnen Teilnehmer:innen ein Benutzerkonto erforderlich gewesen. Diese Benutzerkonten (E-Mail-Adresse) wurdens eigens und nur für diesen Zweck (praktisches Arbeiten im Lehrgang) für die Teilnehmer:innen angelegt. Eine Verknüpfung der Schulung mit einem echten persönlichen Konto wurde damit ausgeschlossen. Im Zuge der Einrichtung der MS-Teams-Benutzerkonten hat die mitbeteiligte Partei die Zugangsdaten für das Benutzerkonto des Beschwerdeführers an dessen private E-Mail-Adresse „ römisch 40 “ geschickt. So hat der Beschwerdeführer am 12.05.2021 um 15:19 Uhr von der Noreply- römisch 40 -E-Mail-Adresse eine E-Mail mit den Zugangsdaten für den Lehrgang an seine private E-Mail-Adresse erhalten. Seine private E-Mail-Adresse ist nicht für andere als vom XXXX festgelegten Zwecke verwendet worden und war im gegenständlichen Kontext ausschließlich zur Übermittlung des „fiktiven“ Lehrgangs-Benutzerkontos (gleichsam als elektronischer Briefkasten) von Relevanz.Seine private E-Mail-Adresse ist nicht für andere als vom römisch 40 festgelegten Zwecke verwendet worden und war im gegenständlichen Kontext ausschließlich zur Übermittlung des „fiktiven“ Lehrgangs-Benutzerkontos (gleichsam als elektronischer Briefkasten) von Relevanz.
7. Beweiswürdigung: Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde sowie dem Gerichtsakt. Die Feststellungen zu den Anmeldungsmodalitäten zum Lehrgang ,,Diplomausbildung Datenschutzbeauftragte/r‘‘ und zum Erhalt der diesbezüglichen Anmeldebestätigung folgen aus den übereinstimmenden Angaben des Beschwerdeführers in seiner Datenschutzbeschwerde vom 16.12.2021, seinem ergänzenden Schreiben vom 24.12.2021 sowie aus der Stellungnahme der mitbeteiligten Partei vom 15.02.
8. Dass das XXXX die mitbeteiligte Partei mit der Durchführung von Lehrgängen beauftragt hat, gründet auf den unbestrittenen Angaben der mitbeteiligten Partei. Es besteht kein Zweifel, dass dies für den Beschwerdeführer nach objektiven Grundsätzen nicht klar ersichtlich gewesen wäre, erfolgte doch die Anmeldung im Wege des XXXX .Dass das römisch 40 die mitbeteiligte Partei mit der Durchführung von Lehrgängen beauftragt hat, gründet auf den unbestrittenen Angaben der mitbeteiligten Partei. Es besteht kein Zweifel, dass dies für den Beschwerdeführer nach objektiven Grundsätzen nicht klar ersichtlich gewesen wäre, erfolgte doch die Anmeldung im Wege des römisch 40 . Die Feststellungen zum Ablauf des Lehrgangs ,,Diplomausbildung Datenschutzbeauftragte/r‘‘ während der Covid-19-Pandemie sowie der Umstand, dass sich die mitbeteiligte Partei im Rahmen der Erfüllung des Auftrages bezüglich des Ablaufes und der Durchführung des Lehrgangs an die Vorgaben des XXXX gehalten hat, ergeben sich aus dem glaubhaften Vorbringen der mitbeteiligten Partei in ihrer Stellungnahme vom 15.02.2022 sowie aus dem in diesem Zusammenhang vorgelegten „Informationsblatt zum Datenschutz für Kundinnen in XXXX -Ausbildungen“. Die Feststellungen zum Ablauf des Lehrgangs ,,Diplomausbildung Datenschutzbeauftragte/r‘‘ während der Covid-19-Pandemie sowie der Umstand, dass sich die mitbeteiligte Partei im Rahmen der Erfüllung des Auftrages bezüglich des Ablaufes und der Durchführung des Lehrgangs an die Vorgaben des römisch 40 gehalten hat, ergeben sich aus dem glaubhaften Vorbringen der mitbeteiligten Partei in ihrer Stellungnahme vom 15.02.2022 sowie aus dem in diesem Zusammenhang vorgelegten „Informationsblatt zum Datenschutz für Kundinnen in römisch 40 -Ausbildungen“. Hinweise, dass die private E-Mail-Adresse des Beschwerdeführers seitens der mitbeteiligte Partei für andere Zwecke als lediglich für die Übermittlung der Zugangsdaten für das „fiktive“ Benutzerkonto des Beschwerdeführers zwecks Teilnahme am Online-Lehrgang verarbeitet wurde, sind im gesamten Verfahren nicht hervorgekommen. Der Beschwerdeführer hat solche auch lediglich unsubstantiiert behauptet.
9. Rechtliche Beurteilung: 3.1.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gegenständlich liegt

§ 27

DSG Senatszuständigkeit vor.3.1.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gegenständlich liegt

Paragraph 27, DSG Senatszuständigkeit vor.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte. 3.2.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist. 3.2.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. Zu A) 3.

1. Die maßgeblichen Bestimmungen der DSGVO Artikel 4 Begriffsbestimmungen Im Sinne dieser Verordnung bezeichnet der Ausdruck:
2. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
3. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; 3.-
4. (…)
5. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
6. „Auftragsverarbeiter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet; 9.-
7. (…) Artikel 28 Auftragsverarbeiter

Artikel 32

erforderlichen Maßnahmen ergreift;

1. d)die in den Absätzen 2 und 4 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;
2. e)angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen;
3. e)angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel römisch drei genannten Rechte der betroffenen Person nachzukommen;
4. f)unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 genannten Pflichten unterstützt;
5. g)nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;
6. h)dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen — einschließlich Inspektionen –, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt. Mit Blick auf Unterabsatz 1 Buchstabe h informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

Absatz 3 festgelegt sind, wobei insbesondere hinreichende Garantien dafür geboten werden muss, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung entsprechend den Anforderungen dieser Verordnung erfolgt. Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.

Artikel 40

oder eines genehmigten Zertifizierungsverfahrens

Artikel 42

durch einen Auftragsverarbeiter kann als Faktor herangezogen werden, um hinreichende Garantien im Sinne der Absätze 1 und 4 des vorliegenden Artikels nachzuweisen.

den Artikeln 42 und 43 erteilten Zertifizierung sind.

Artikel 87Absatz 2 Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.

Artikel 63Standardvertragsklauseln zur Regelung der in den Absätzen 3 und 4 des vorliegenden Artikels genannten Fragen festlegen.

§ 73AVG werden nicht eingerechnet:

Paragraph 73, AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;
2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.
3. die Zeit während eines Verfahrens nach Artikel 56, 60 und 63 DSGVO. 3.
4. Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Unter schutzwürdigen personenbezogenen Daten sind in diesem Zusammenhang nicht nur unschwer als personenbezogene erkennbare Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen, sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig. 3.
5. Nach der Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Unter schutzwürdigen personenbezogenen Daten sind in diesem Zusammenhang nicht nur unschwer als personenbezogene erkennbare Angaben, wie etwa Name, Geschlecht, Adresse oder der Wohnort einer Person zu verstehen, sondern beispielsweise Werturteile und damit schlechthin personenbezogene Informationen. Sämtliche personenbezogene Daten – d.h. sowohl automationsunterstützt verarbeitete Daten als auch manuelle Daten – sind, sofern ein schutzwürdiges Geheimhaltungsinteresse besteht, geheim zu halten bzw. ist eine Verarbeitung dieser Daten unzulässig. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch

§ 1Abs.

1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen.Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch

Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die datenschutzrechtlichen Grundsätze der Rechtmäßigkeit und der Verhältnismäßigkeit zu berücksichtigen. 3.

1. Mit dem angefochtenen Bescheid wies die belangte Behörde die Datenschutzbeschwerde ab und begründete dies im Wesentlichen damit, dass die mitbeteiligte Partei durch die Weitergabe der Daten innerhalb ihrer vom XXXX festgelegten vertraglichen Verpflichtungen gehandelt und nicht selbstständig über die Zwecke und Mittel der Verarbeitung bestimmt habe, weswegen sie nicht als eigenständige Verantwortliche, sondern als Auftragsverarbeiterin zu qualifizieren sei. 3.
2. Mit dem angefochtenen Bescheid wies die belangte Behörde die Datenschutzbeschwerde ab und begründete dies im Wesentlichen damit, dass die mitbeteiligte Partei durch die Weitergabe der Daten innerhalb ihrer vom römisch 40 festgelegten vertraglichen Verpflichtungen gehandelt und nicht selbstständig über die Zwecke und Mittel der Verarbeitung bestimmt habe, weswegen sie nicht als eigenständige Verantwortliche, sondern als Auftragsverarbeiterin zu qualifizieren sei. Im gegenständlichen Fall wurden mit dem Versand der E-Mail unstrittig eine Verarbeitung iSd Art. 4 Z 2 DSGVO durchgeführt. Strittig ist hingegen, ob die mitbeteiligte Partei als Verantwortliche iSd Art. 4 Z 7 DSGVO zu qualifizieren ist. Im gegenständlichen Fall wurden mit dem Versand der E-Mail unstrittig eine Verarbeitung iSd Artikel 4, Ziffer 2, DSGVO durchgeführt. Strittig ist hingegen, ob die mitbeteiligte Partei als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO zu qualifizieren ist.

Art. 4Z 7 DSGVO ist u.a.

jede natürliche oder juristische Person „Verantwortlicher“ die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Unter dem Zweck einer Datenverarbeitung ist das „warum“ gemeint, d.h. „zu welchem Zweck“ bzw. „wozu“ eine Datenverarbeitung stattfindet. Mit den Mitteln ist die Art und Weise gemeint, wie das Ergebnis oder Ziel erreicht wird und welche Mittel zu deren Erreichung eingesetzt werden sollen. Wesentlich für die Abgrenzung ist insbesondere der tatsächliche Einfluss auf die Entscheidung über Zweck und Mittel (siehe zu den Definitionen von Zweck und Mittel: Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 7 DSGVO Rz 19; Hödl in Knyrim, DatKomm Art. 4 DSGVO Rz 87).

Artikel 4, Ziffer 7, DSGVO ist u.a.

jede natürliche oder juristische Person „Verantwortlicher“ die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Unter dem Zweck einer Datenverarbeitung ist das „warum“ gemeint, d.h. „zu welchem Zweck“ bzw. „wozu“ eine Datenverarbeitung stattfindet. Mit den Mitteln ist die Art und Weise gemeint, wie das Ergebnis oder Ziel erreicht wird und welche Mittel zu deren Erreichung eingesetzt werden sollen. Wesentlich für die Abgrenzung ist insbesondere der tatsächliche Einfluss auf die Entscheidung über Zweck und Mittel (siehe zu den Definitionen von Zweck und Mittel: Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 7, DSGVO Rz 19; Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 87). Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und der Begriff dient der Zuweisung von Verantwortlichkeiten […]. Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde […]. Bei der Ausrichtung der Definition als Verantwortlicher – als jene Person oder Stelle, die über Zweck(

1. e)und Mittel der Verarbeitung entscheidet – handelt sich im Regelfall um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird. Als Mittel sind nicht nur die technischen und organisatorischen Methoden gemeint, sondern das „Wie“ der Verarbeitung. Damit sind Entscheidungen gemeint, wie welche Daten verarbeitet werden, an wen sie übermittelt werden oder wann sie gelöscht werden. Die Verantwortung kann sich zudem auch aus der faktischen Entscheidungsvorwegnahme ergeben. Trifft ein Akteur tatsächlich und faktisch die Entscheidung für die Aufnahme einer Datenverarbeitung, ist dieser als Verantwortlicher iSd DSGVO anzusehen. Ausschlaggebend ist, wer entscheidet und nicht wer rechtmäßig entscheidet. So kann ein Auftragsverarbeiter zum Verantwortlichen werden, wenn er ohne dafür legitimiert zu sein dennoch Verarbeitungszwecke und Verarbeitungsmittel selbst bestimmt (vgl. Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 77ff. [Stand 01.12.2018, rdb.at]).Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und der Begriff dient der Zuweisung von Verantwortlichkeiten […]. Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde […]. Bei der Ausrichtung der Definition als Verantwortlicher – als jene Person oder Stelle, die über Zweck(
2. e)und Mittel der Verarbeitung entscheidet – handelt sich im Regelfall um eine funktionalistische Sichtweise, wonach die Verantwortlichkeit anhand des tatsächlichen Einflusses auf die Entscheidung zugewiesen wird. Als Mittel sind nicht nur die technischen und organisatorischen Methoden gemeint, sondern das „Wie“ der Verarbeitung. Damit sind Entscheidungen gemeint, wie welche Daten verarbeitet werden, an wen sie übermittelt werden oder wann sie gelöscht werden. Die Verantwortung kann sich zudem auch aus der faktischen Entscheidungsvorwegnahme ergeben. Trifft ein Akteur tatsächlich und faktisch die Entscheidung für die Aufnahme einer Datenverarbeitung, ist dieser als Verantwortlicher iSd DSGVO anzusehen. Ausschlaggebend ist, wer entscheidet und nicht wer rechtmäßig entscheidet. So kann ein Auftragsverarbeiter zum Verantwortlichen werden, wenn er ohne dafür legitimiert zu sein dennoch Verarbeitungszwecke und Verarbeitungsmittel selbst bestimmt vergleiche Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 77ff. [Stand 01.12.2018, rdb.at]). Der EuGH hält in ständiger Rechtsprechung fest, dass der Begriff des Verantwortlichen weit definiert ist, um einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten (vgl. EuGH 29.07.2019, C-40/17, Fashion ID, Rn. 65 f, mwN, iZm einem Online-Händler, der auf seiner Webpage ein „Social Plugin“ eines sozialen Netzwerkes eingebunden hat). Weiters hat der EuGH ausgesprochen, dass der Begriff auch mehrere an der Datenverarbeitung beteiligte Akteure erfassen kann (wobei die Personen in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein können) und dass jede Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel der Datenverarbeitung mitwirkt, als Verantwortlicher angesehen werden kann (vgl. erneut EuGH 29.07.2019, C-40/17, Rn. 67 ff, mwN). Hingegen können Personen für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel festlegen, nicht als Verantwortliche angesehen werden (siehe wiederum EuGH 29.07.2019, C-40/17, Rn. 74). Die Verantwortlichkeit ist auf Vorgänge der Datenverarbeitung beschränkt, für die der Betreffende tatsächlich über die Zwecke und Mittel entscheidet (vgl. EuGH 29.07.2019, C-40/17, Rn. 85).Der EuGH hält in ständiger Rechtsprechung fest, dass der Begriff des Verantwortlichen weit definiert ist, um einen wirksamen und umfassenden Schutz der betroffenen Personen zu gewährleisten vergleiche EuGH 29.07.2019, C-40/17, Fashion ID, Rn. 65 f, mwN, iZm einem Online-Händler, der auf seiner Webpage ein „Social Plugin“ eines sozialen Netzwerkes eingebunden hat). Weiters hat der EuGH ausgesprochen, dass der Begriff auch mehrere an der Datenverarbeitung beteiligte Akteure erfassen kann (wobei die Personen in verschiedenen Phasen und in unterschiedlichem Ausmaß einbezogen sein können) und dass jede Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel der Datenverarbeitung mitwirkt, als Verantwortlicher angesehen werden kann vergleiche erneut EuGH 29.07.2019, C-40/17, Rn. 67 ff, mwN). Hingegen können Personen für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel festlegen, nicht als Verantwortliche angesehen werden (siehe wiederum EuGH 29.07.2019, C-40/17, Rn. 74). Die Verantwortlichkeit ist auf Vorgänge der Datenverarbeitung beschränkt, für die der Betreffende tatsächlich über die Zwecke und Mittel entscheidet vergleiche EuGH 29.07.2019, C-40/17, Rn. 85). Auch nach der Rechtsprechung des Verwaltungsgerichtshofes ist für die Qualifikation als (damals noch) Auftraggeber (nunmehr Verantwortlicher) maßgeblich, wer die Entscheidung getroffen hat, die Daten zu verarbeiten (vgl. VwGH 18.03.2022, Ro 2020/04/0027, Rn. 21, mwN). Auch nach der Rechtsprechung des Verwaltungsgerichtshofes ist für die Qualifikation als (damals noch) Auftraggeber (nunmehr Verantwortlicher) maßgeblich, wer die Entscheidung getroffen hat, die Daten zu verarbeiten vergleiche VwGH 18.03.2022, Ro 2020/04/0027, Rn. 21, mwN). Entscheidungen über den Zweck der Verarbeitung ist dabei Sache des Verantwortlichen. Bei der Festlegung der Mittel hat der Auftragsverarbeiter einen gewissen Handlungsspielraum. „Wesentliche Mittel“, d.h. Mittel, die in engem Zusammenhang mit dem Zweck und dem Umfang der Verarbeitung stehen, etwa die Bestimmung der Betroffenen, über die Daten verarbeitet werden, die über sie zu verarbeiteten Datenarten, ihre Speicherdauer und die Kategorien von Empfängern, sind in der Regel dem Verantwortlichen vorbehalten (zum Ganzen siehe EDSA, Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0 vom 07.06.2021).Entscheidungen über den Zweck der Verarbeitung ist dabei Sache des Verantwortlichen. Bei der Festlegung der Mittel hat der Auftragsverarbeiter einen gewissen Handlungsspielraum. „Wesentliche Mittel“, d.h. Mittel, die in engem Zusammenhang mit dem Zweck und dem Umfang der Verarbeitung stehen, etwa die Bestimmung der Betroffenen, über die Daten verarbeitet werden, die über sie zu verarbeiteten Datenarten, ihre Speicherdauer und die Kategorien von Empfängern, sind in der Regel dem Verantwortlichen vorbehalten (zum Ganzen siehe EDSA, Leitlinien 07 aus 2020, zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO, Version 2.0 vom 07.06.2021). Vor dem Hintergrund dieser Ausführungen wird deutlich, dass gegenständlich die mitbeteiligte Partei nicht als Verantwortliche iSd Art. 4 Z 7 DSGVO anzusehen ist:Vor dem Hintergrund dieser Ausführungen wird deutlich, dass gegenständlich die mitbeteiligte Partei nicht als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO anzusehen ist: Für den vorliegenden Fall ergibt sich, dass – wie die belangte Behörde im angefochtenen Bescheid zutreffend ausgeführt hat – aus datenschutzrechtlicher Sicht das XXXX als Verantwortlicher für die Datenverarbeitung iSd Art. 4 Z 7 DSGVO zu qualifizieren ist, da die mitbeteiligte Partei im Rahmen eines Auftragsverarbeitungsvertrages für den XXXX die gegenständliche Verarbeitung vornahm. Konkret besteht zwischen dem XXXX und der mitbeteiligten Partei ein Vertrag, der Regelungen bezüglich der Verarbeitung der für die von der mitbeteiligten Partei durchgeführten Lehrgänge notwendigen personenbezogenen Daten enthält. Danach hat die mitbeteiligte Partei die personenbezogenen Daten von Personen – so auch beim Beschwerdeführer – nach den Vorgaben des XXXX zu verarbeiten. Somit entscheidet das XXXX grundsätzlich über die Zwecke und Mittel der Verarbeitung. Ein gewisser Entscheidungsspielraum schadet dabei aber auch nicht, um als Auftragsverarbeiter qualifiziert zu werden. Wie die belangte Behörde hierzu auch zutreffend ausgeführt hat, gibt es auch keine Anhaltspunkte dafür, dass die mitbeteiligte Partei die E-Mail-Adresse des Beschwerdeführers zweckentfremdet verarbeitet hat. In Anbetracht des Verhältnisses zwischen der mitbeteiligten Partei und dem XXXX , das letztlich den Zweck und grundsätzlich die wesentlichen Mittel der Datenverarbeitung auch in Bezug auf die Auftragserfüllung vorgenommene Verarbeitung personenbezogener Daten bestimmt, kann die mitbeteiligte Partei nicht als Verantwortliche iSd Art. 4 Z 7 DSGVO, sondern lediglich als Auftragsverarbeiterin iSd Art. 4 Z 8 DSGVO qualifiziert werden. Für den vorliegenden Fall ergibt sich, dass – wie die belangte Behörde im angefochtenen Bescheid zutreffend ausgeführt hat – aus datenschutzrechtlicher Sicht das römisch 40 als Verantwortlicher für die Datenverarbeitung iSd Artikel 4, Ziffer 7, DSGVO zu qualifizieren ist, da die mitbeteiligte Partei im Rahmen eines Auftragsverarbeitungsvertrages für den römisch 40 die gegenständliche Verarbeitung vornahm. Konkret besteht zwischen dem römisch 40 und der mitbeteiligten Partei ein Vertrag, der Regelungen bezüglich der Verarbeitung der für die von der mitbeteiligten Partei durchgeführten Lehrgänge notwendigen personenbezogenen Daten enthält. Danach hat die mitbeteiligte Partei die personenbezogenen Daten von Personen – so auch beim Beschwerdeführer – nach den Vorgaben des römisch 40 zu verarbeiten. Somit entscheidet das römisch 40 grundsätzlich über die Zwecke und Mittel der Verarbeitung. Ein gewisser Entscheidungsspielraum schadet dabei aber auch nicht, um als Auftragsverarbeiter qualifiziert zu werden. Wie die belangte Behörde hierzu auch zutreffend ausgeführt hat, gibt es auch keine Anhaltspunkte dafür, dass die mitbeteiligte Partei die E-Mail-Adresse des Beschwerdeführers zweckentfremdet verarbeitet hat. In Anbetracht des Verhältnisses zwischen der mitbeteiligten Partei und dem römisch 40 , das letztlich den Zweck und grundsätzlich die wesentlichen Mittel der Datenverarbeitung auch in Bezug auf die Auftragserfüllung vorgenommene Verarbeitung personenbezogener Daten bestimmt, kann die mitbeteiligte Partei nicht als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO, sondern lediglich als Auftragsverarbeiterin iSd Artikel 4, Ziffer 8, DSGVO qualifiziert werden. 3.7. Daraus ergibt sich, dass die mitbeteiligte Partei mangels Verantwortlicheneigenschaft den Beschwerdeführer nicht in seinem Recht auf Geheimhaltung verletzt haben kann. Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde

§ 28Abs. 2 Vw

GVG iVm § 24 Abs. 1 und Abs. 5 DSG abzuweisen.Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Artikel 130, Absatz eins, Ziffer eins, B-VG nicht anhaftet, war die dagegen erhobene Beschwerde

Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG abzuweisen. 3.8.

§ 24Abs. 1 Vw

GVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.3.8.

Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Der Beschwerdeführer hat gegenständlich keinen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen. Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).Der Beschwerdeführer hat gegenständlich keinen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen. Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12). Von der Durchführung einer mündlichen Verhandlung war folglich

§ 24Abs. 1 Vw

GVG abzusehen.Von der Durchführung einer mündlichen Verhandlung war folglich

Paragraph 24, Absatz eins, VwGVG abzusehen. Zu B) (Un)Zulässigkeit der Revision:

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. European Case Law IdentifierECLI:AT:BVWG:2025:W137.2256492.1.00