Obsah (5)

Art 2Art. 4§ 24§ 25aArt 133

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum01.04.2025 GeschäftszahlW252 2297124-1 Spruch, W252 2297124-1/5E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richte

Art 2

Abs 1 für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Die DSGVO gilt

Artikel 2

, Absatz eins, für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Unter personenbezogenen Daten versteht Art 4 Z 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Es ist evident, dass es sich beim Name der MP, der Telefonnummer der MP, sowie der Information über den Ort der Hochzeit, um personenbezogene Daten des BF handelt und vor diesem Hintergrund die Informationen auf den Hochzeitseinladungen, die sich im Paket befanden, als personenbezogene Daten der MP zu qualifizieren sind. Unter personenbezogenen Daten versteht Artikel 4, Ziffer eins, DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Es ist evident, dass es sich beim Name der MP, der Telefonnummer der MP, sowie der Information über den Ort der Hochzeit, um personenbezogene Daten des BF handelt und vor diesem Hintergrund die Informationen auf den Hochzeitseinladungen, die sich im Paket befanden, als personenbezogene Daten der MP zu qualifizieren sind.

Art. 4

Z 2 DSGVO bezeichnet der Begriff „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Hödl in Knyrim, DatKomm Art 4 DSGVO (Stand 1.12.2018, rdb.

1. at)Rz 34). Generell ist der Begriff der Verarbeitung äußerst weit gefasst und umfasst nicht nur einzelne Vorgänge, sondern auch sogenannte „Vorgangsreihen“, somit mehrere aneinandergereihte Verarbeitungsvorgänge (Hödl in Knyrim, DatKomm Art 4 DSGVO (Stand 1.12.2018, rdb.
2. at)Rz 27). Die DSGVO unterscheidet weder hinsichtlich der Intensität oder Dauer einer jeweiligen Verarbeitung, noch wird im Zusammenhang mit der für die Verarbeitung eingesetzten Technik eine Differenzierung vorgenommen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 4 Z 2 DSGVO (Stand 1.12.2020, rdb.
3. at)Rz 5, 18). Im konkreten Fall umfasst die Datenverarbeitung den gesamten Vorgang, dh vom Zeitpunkt der online Bestellung von Hochzeitseinladungen durch XXXX , Eingabe der persönlichen Daten der MP, der Produktion der Hochzeitseinladungen, bis zum Versand.

Artikel 4

, Ziffer 2, DSGVO bezeichnet der Begriff „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Hödl in Knyrim, DatKomm Artikel 4, DSGVO (Stand 1.12.2018, rdb.

1. at)Rz 34). Generell ist der Begriff der Verarbeitung äußerst weit gefasst und umfasst nicht nur einzelne Vorgänge, sondern auch sogenannte „Vorgangsreihen“, somit mehrere aneinandergereihte Verarbeitungsvorgänge (Hödl in Knyrim, DatKomm Artikel 4, DSGVO (Stand 1.12.2018, rdb.
2. at)Rz 27). Die DSGVO unterscheidet weder hinsichtlich der Intensität oder Dauer einer jeweiligen Verarbeitung, noch wird im Zusammenhang mit der für die Verarbeitung eingesetzten Technik eine Differenzierung vorgenommen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 4, Ziffer 2, DSGVO (Stand 1.12.2020, rdb.
3. at)Rz 5, 18). Im konkreten Fall umfasst die Datenverarbeitung den gesamten Vorgang, dh vom Zeitpunkt der online Bestellung von Hochzeitseinladungen durch römisch 40 , Eingabe der persönlichen Daten der MP, der Produktion der Hochzeitseinladungen, bis zum Versand. Der erkennende Senat gelangt daher zur Ansicht, dass im konkreten Fall eine Verarbeitung von personenbezogenen Daten stattgefunden hat und die DSGVO auf den vorliegenden Fall anwendbar ist. 3.2. Zur datenschutzrechtlichen Rollenverteilung: Die belangte Behörde führte im Bescheid aus, dass der Frächter/Fahrer der BF zuzurechnen sei, weshalb diese Verantwortliche sei (siehe OZ 1, S 62). Die BF führte in ihrer Bescheidbeschwerde hingegen aus, dass sie als fremder Frachtdienstleister zwar grundsätzlich selbst Verantwortlicher sein könne, allerdings nur für die Zustelldaten eines Paketempfängers und nicht für den ihr unbekannten Paketinhalt (OZ 1, S 18 f).

Art 4

Z 7 DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Artikel 4

, Ziffer 7, DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der Begriff „Verantwortlicher“ ist in Art 4 Z 7 DSGVO weit definiert. Der EuGH hat bereits entschieden, dass jede natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung solcher Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für diese Verarbeitung Verantwortlicher angesehen werden kann. Dabei ist nicht erforderlich, dass über die Zwecke und Mittel der Verarbeitung mittels schriftlicher Anleitungen oder Anweisungen seitens des Verantwortlichen entschieden wird. Aus Art 4 Z 7 DSGVO in Verbindung mit dem

1. Erwägungsgrund der DSGVO ergibt sich, dass eine Einrichtung, wenn sie die in Art 4 Z 7 der DSGVO aufgestellte Voraussetzung erfüllt, nicht nur für jedwede Verarbeitung personenbezogener Daten verantwortlich ist, die durch sie selbst erfolgt, sondern auch für jedwede Verarbeitung, die in ihrem Namen erfolgt. Ein tatsächlicher Zugang zu den Daten ist demnach für die Verantwortlicheneigenschaft nicht zwingend erforderlich (vgl EuGH 05.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rz 28, 30, 36, 40 ff).Der Begriff „Verantwortlicher“ ist in Artikel 4, Ziffer 7, DSGVO weit definiert. Der EuGH hat bereits entschieden, dass jede natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung solcher Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für diese Verarbeitung Verantwortlicher angesehen werden kann. Dabei ist nicht erforderlich, dass über die Zwecke und Mittel der Verarbeitung mittels schriftlicher Anleitungen oder Anweisungen seitens des Verantwortlichen entschieden wird. Aus Artikel 4, Ziffer 7, DSGVO in Verbindung mit dem
2. Erwägungsgrund der DSGVO ergibt sich, dass eine Einrichtung, wenn sie die in Artikel 4, Ziffer 7, der DSGVO aufgestellte Voraussetzung erfüllt, nicht nur für jedwede Verarbeitung personenbezogener Daten verantwortlich ist, die durch sie selbst erfolgt, sondern auch für jedwede Verarbeitung, die in ihrem Namen erfolgt. Ein tatsächlicher Zugang zu den Daten ist demnach für die Verantwortlicheneigenschaft nicht zwingend erforderlich vergleiche EuGH 05.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rz 28, 30, 36, 40 ff). Zu den Zustelldaten: Im vorliegenden Fall ist – wie festgestellt – nicht die MP Empfängerin des Pakets, sondern XXXX . Da die Daten der MP somit ausschließlich im Inneren des Pakets auf den Hochzeitseinladungen enthalten waren, war die Verantwortlicheneigenschaft auch nur in Bezug auf den Paketinhalt zu beurteilen. Ob die BF allenfalls – wie in ihrer Bescheidbeschwerde vorgebracht – Verantwortlicher für die Verarbeitung der Zustelldaten der Paketempfängerin war, war daher im Hinblick auf den Verfahrensgegenstand nicht weiter zu klären.Im vorliegenden Fall ist – wie festgestellt – nicht die MP Empfängerin des Pakets, sondern römisch 40 . Da die Daten der MP somit ausschließlich im Inneren des Pakets auf den Hochzeitseinladungen enthalten waren, war die Verantwortlicheneigenschaft auch nur in Bezug auf den Paketinhalt zu beurteilen. Ob die BF allenfalls – wie in ihrer Bescheidbeschwerde vorgebracht – Verantwortlicher für die Verarbeitung der Zustelldaten der Paketempfängerin war, war daher im Hinblick auf den Verfahrensgegenstand nicht weiter zu klären. Zum Paketinhalt: Im vorliegenden Fall hatte die BF weder auf den Zweck, noch auf die Mittel der Verarbeitung Einfluss. Erstellung und Druck der Hochzeitseinladungen erfolge gänzlich außerhalb der Sphäre der BF, weshalb diesbezüglich eine Verantwortlicheneigenschaft jedenfalls ausscheidet. Es wird hierbei nicht verkannt, dass die BF in den Versand der Einladungen involviert war bzw diesen durchführte, allerdings hatte sie hierbei auf den Inhalt des verschlossenen Pakets ebenfalls keinen Einfluss. Ein allfälliges Eigeninteresse der BF bzw eine Verarbeitung in ihrem Namen bezieht sich ausschließlich auf die Versanddaten des Pakets aber nicht auf dessen Inhalt, weshalb dadurch ebenfalls keine Verantwortlichkeit begründet wird. Hinzu kommt, dass die BF die Daten im inneren des Pakets nicht verarbeitet hat und keine Kenntnis von deren Inhalt hatte. Der allgemein gehaltenen Argumentation der belangten Behörde zu Zweck und Mittel ist zwar grundsätzlich zuzustimmen, jedoch fehlt der entscheidende Schritt, inwiefern die BF die Entscheidung getroffen haben soll, dass Daten (auf den Hochzeitseinladungen) zu verarbeiten sind. Die belangte Behörde hat auch nicht näher ausgeführt, inwiefern die BF (bzw ihr Frächter/Fahrer) die Daten im inneren des Pakets für „eigenen Zwecke“ verarbeitet haben soll. Sie übersieht somit, dass die von ihr getroffenen Ausführungen allenfalls auf die Zustelldaten zutreffen, nicht jedoch auf den Paketinhalt. Diese Ausführungen treffen auch auf den von der BF beauftragten Frächter/Fahrer zu, der ebenso keinerlei Einfluss auf die Daten im inneren des Pakets hatte. Zwischenergebnis: Die BF ist für die hier vorliegende Verarbeitung der Daten der MP nicht Verantwortlicher. Eine Datenschutzbeschwerde, die sich (unzweifelhaft) gegen eine bestimmte Person (oder Stelle) richtet, die nicht Verantwortlicher für die betreffende Datenverarbeitung ist, ist abzuweisen. Ein Austausch der Person des Verantwortlichen im verwaltungsgerichtlichen Verfahren (und somit eine Führung des Beschwerdeverfahrens gegen eine andere Person als diejenige, gegen die das verwaltungsbehördliche Verfahren geführt worden ist) kommt im Hinblick auf die „Sache“ des Beschwerdeverfahrens jedenfalls bei einer geltend gemachten Verletzung im Recht auf Geheimhaltung (somit der behaupteten Rechtswidrigkeit eines in der Vergangenheit liegenden abgeschlossenen Vorgangs) nicht in Betracht (vgl VwGH 03.09.2024, Ra 2023/04/0094, Rz 20 f).Eine Datenschutzbeschwerde, die sich (unzweifelhaft) gegen eine bestimmte Person (oder Stelle) richtet, die nicht Verantwortlicher für die betreffende Datenverarbeitung ist, ist abzuweisen. Ein Austausch der Person des Verantwortlichen im verwaltungsgerichtlichen Verfahren (und somit eine Führung des Beschwerdeverfahrens gegen eine andere Person als diejenige, gegen die das verwaltungsbehördliche Verfahren geführt worden ist) kommt im Hinblick auf die „Sache“ des Beschwerdeverfahrens jedenfalls bei einer geltend gemachten Verletzung im Recht auf Geheimhaltung (somit der behaupteten Rechtswidrigkeit eines in der Vergangenheit liegenden abgeschlossenen Vorgangs) nicht in Betracht vergleiche VwGH 03.09.2024, Ra 2023/04/0094, Rz 20 f). Im vorliegenden Fall hat die MP unzweifelhaft und eindeutig die BF als Beschwerdegegnerin bezeichnet. Im Hinblick auf die Stellungnahme der BF vom 03.08.2023 (OZ 1, S 31 ff), wonach sie keine Kenntnis des Inhalts des Pakets habe und auch keine Verarbeitung von allenfalls im Paket enthaltenen (personenbezogenen) Daten durchgeführt habe, stellte die MP erneut klar, dass sie ihre Datenschutzbeschwerde (nur) gegen die BF gerichtet wissen wollte und „beharrte“ damit auf einer Verfahrensweiterführung gegen die BF (vgl OZ 1, S 79, wonach „es sich bei der Darstellung von XXXX nur um Ausflüchte und Verallgemeinerungen“ handle; „Ob der Fehler bei XXXX oder bei einem seiner beauftragten Subunternehmen passiert ist macht für mich keinen Unterschied da für mich auch nicht erkennbar, auch der Zustellbeleg enthält keinen Hinweis auf ein anderes Unternehmen“; „Was den Warenwert des Paketes betrifft wurden wir vom Versender entschädigt, hier geht es um das Recht auf Geheimhaltung das verletzt wurde; Dies hat XXXX erst durch die nicht konforme Zustellung erst ermöglicht“; Aus diesen Gründen finde ich es angemessen das Verfahren gegen XXXX weiterzuführen.“).Im vorliegenden Fall hat die MP unzweifelhaft und eindeutig die BF als Beschwerdegegnerin bezeichnet. Im Hinblick auf die Stellungnahme der BF vom 03.08.2023 (OZ 1, S 31 ff), wonach sie keine Kenntnis des Inhalts des Pakets habe und auch keine Verarbeitung von allenfalls im Paket enthaltenen (personenbezogenen) Daten durchgeführt habe, stellte die MP erneut klar, dass sie ihre Datenschutzbeschwerde (nur) gegen die BF gerichtet wissen wollte und „beharrte“ damit auf einer Verfahrensweiterführung gegen die BF vergleiche OZ 1, S 79, wonach „es sich bei der Darstellung von römisch 40 nur um Ausflüchte und Verallgemeinerungen“ handle; „Ob der Fehler bei römisch 40 oder bei einem seiner beauftragten Subunternehmen passiert ist macht für mich keinen Unterschied da für mich auch nicht erkennbar, auch der Zustellbeleg enthält keinen Hinweis auf ein anderes Unternehmen“; „Was den Warenwert des Paketes betrifft wurden wir vom Versender entschädigt, hier geht es um das Recht auf Geheimhaltung das verletzt wurde; Dies hat römisch 40 erst durch die nicht konforme Zustellung erst ermöglicht“; Aus diesen Gründen finde ich es angemessen das Verfahren gegen römisch 40 weiterzuführen.“). Vor diesem Hintergrund kann es damit dahingestellt bleiben, ob die Benennung des „richtigen“ Verantwortlichen für die MP zumutbar war oder nicht, denn in jenen Fällen, in denen eine betroffene Person auf einem (wenn auch „falschen“) Beschwerdegegner beharrt, wäre eine Auslegung der Parteienerklärung bzw die Ermittlung des „richtigen“ Verantwortlichen nicht geboten. Die Datenschutzbeschwerde war daher in der Sache (wenn auch negativ) zu erledigen (siehe idS auch VwGH 18.03.2022, Ro 2020/04/0027, Rz 42). Der Bescheidbeschwerde der BF war daher stattzugeben und der Spruch des angefochtenen Bescheides spruchgemäß abzuändern. 3.
3. Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. Die von der BF aufgeworfenen Argumente in ihrer Bescheidbeschwerde betreffen insbesondere die Fragen, ob sie Daten verarbeitet hat und ob sie Verantwortlicher für die Verarbeitung ist. Da diese Fragen reine Rechtsfragen sind und keine besondere Komplexität aufweisen, war eine Verhandlung ebenfalls nicht erforderlich. Insbesondere war nicht erkennbar, inwiefern eine mündliche Erörterung zu einer weiteren Klärung der Rechtssache geführt hätte (vgl dazu VwGH 19.10.2022, Ro 2022/04/0001, RS 5). Dem Entfall der Verhandlung stand auch Art 6 Abs 1 EMRK bzw Art 47 GRC nicht entgegen. Von der mündlichen Verhandlung konnte daher

§ 24Abs 4 Vw

GVG abgesehen werden.3.3. Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. Die von der BF aufgeworfenen Argumente in ihrer Bescheidbeschwerde betreffen insbesondere die Fragen, ob sie Daten verarbeitet hat und ob sie Verantwortlicher für die Verarbeitung ist. Da diese Fragen reine Rechtsfragen sind und keine besondere Komplexität aufweisen, war eine Verhandlung ebenfalls nicht erforderlich. Insbesondere war nicht erkennbar, inwiefern eine mündliche Erörterung zu einer weiteren Klärung der Rechtssache geführt hätte vergleiche dazu VwGH 19.10.2022, Ro 2022/04/0001, RS 5). Dem Entfall der Verhandlung stand auch Artikel 6, Absatz eins, EMRK bzw Artikel 47, GRC nicht entgegen. Von der mündlichen Verhandlung konnte daher

Paragraph 24, Absatz 4, VwGVG abgesehen werden. Zu B) (Un)Zulässigkeit der Revision:

§ 25aAbs 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art 133Abs 4 B-VG zulässig ist.

Dieser Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Dieser Ausspruch ist kurz zu begründen. Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich auf die jeweils zitierte Rechtsprechung des VwGH bzw EuGH bezüglich der Anwendbarkeit der DSGVO, der Datenschutzrechtlichen Rollenverteilung sowie der Benennung des Beschwerdegegners stützen. European Case Law IdentifierECLI:AT:BVWG:2025:W252.2297124.1.00