Obsah (10)

Art 95Art 51§ 191Art 4§ 38§ 165Art 7§ 24§ 25aArt 133

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum06.05.2025 GeschäftszahlW252 2271318-1 Spruch, W252 2271318-1/6E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richte

Art 95DSGVO die DSGVO als lex generalis nur auf Datenschutzsachverhalte Anwendung finden, die nicht in der e

Privacy-RL eine speziellere Regelung erfahren haben. Liegt somit eine Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen in der Union vor (zB Websiten) und die zu klärenden Fragen unterliegen Pflichten der ePrivacy-RL, die dasselbe Ziel wie jene der DSGVO verfolgen, legt die DSGVO natürlichen oder juristischen Personen keine zusätzlichen Pflichten auf und kommt nicht zur Anwendung (vgl Križanac in Knyrim, DatKomm Art 95 DSGVO Rz 3).Demnach soll

Artikel 95, DSGVO die DSGVO als lex generalis nur auf Datenschutzsachverhalte Anwendung finden, die nicht in der e

Privacy-RL eine speziellere Regelung erfahren haben. Liegt somit eine Verarbeitung in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen in der Union vor (zB Websiten) und die zu klärenden Fragen unterliegen Pflichten der ePrivacy-RL, die dasselbe Ziel wie jene der DSGVO verfolgen, legt die DSGVO natürlichen oder juristischen Personen keine zusätzlichen Pflichten auf und kommt nicht zur Anwendung vergleiche Križanac in Knyrim, DatKomm Artikel 95, DSGVO Rz 3). Die Behördenzuständigkeit richtet sich nach den Zuständigkeitsregelungen der zu Anwendung gelangenden Norm (DSGVO oder ePrivacy-RL). Demnach können Datenschutzbehörden nur dann für die Untersuchung von Verarbeitungsvorgängen, die unter die ePrivacy-RL fallen, zuständig sein, wenn das nationale Gesetz (hier das TKG 2021) ihnen diese Zuständigkeit überträgt (vgl idS Križanac in Knyrim, DatKomm Art 95 DSGVO Rz 7).Die Behördenzuständigkeit richtet sich nach den Zuständigkeitsregelungen der zu Anwendung gelangenden Norm (DSGVO oder ePrivacy-RL). Demnach können Datenschutzbehörden nur dann für die Untersuchung von Verarbeitungsvorgängen, die unter die ePrivacy-RL fallen, zuständig sein, wenn das nationale Gesetz (hier das TKG 2021) ihnen diese Zuständigkeit überträgt vergleiche idS Križanac in Knyrim, DatKomm Artikel 95, DSGVO Rz 7). Die Zuständigkeit im Anwendungsbereich der DSGVO ist in Art 51 DSGVO geregelt, wonach die Mitgliedstaaten eine oder mehrere unabhängige Behörden für die Überwachung der DSGVO vorsehen können.

Art 51DSGVO i

Vm § 18 DSG ist in Österreich die Datenschutzbehörde (belangte Behörde) für die Einhaltung der DSGVO zuständig. Die ePrivacy-RL belässt den Mitgliedstaaten die Flexibilität, darüber zu entscheiden, welcher Behörde oder Stelle sie ihre Durchsetzung anvertrauen wollen (siehe EDSA, Stellungnahme 5/2019 zum Zusammenspiel zwischen der e-Datenschutz-Richtlinie und der DSGVO, insbesondere in Bezug auf die Zuständigkeiten, Aufgaben und Befugnisse von Datenschutzbehörden, angenommen am 12.03.2019, Rz 64; in der Folge nur „EDSA Stellungnahme 5/2019“). Für die Einhaltung des Umsetzungsrechtsakts der ePrivacy-RL, dem TKG 2021, ist

§ 191ff TKG 2021 die Fernmeldebehörde, das Fernmeldebüro bzw die RTR-Gmb

H zuständig.Die Zuständigkeit im Anwendungsbereich der DSGVO ist in Artikel 51, DSGVO geregelt, wonach die Mitgliedstaaten eine oder mehrere unabhängige Behörden für die Überwachung der DSGVO vorsehen können.

Artikel 51

, DSGVO in Verbindung mit Paragraph 18, DSG ist in Österreich die Datenschutzbehörde (belangte Behörde) für die Einhaltung der DSGVO zuständig. Die ePrivacy-RL belässt den Mitgliedstaaten die Flexibilität, darüber zu entscheiden, welcher Behörde oder Stelle sie ihre Durchsetzung anvertrauen wollen (siehe EDSA, Stellungnahme 5 aus 2019, zum Zusammenspiel zwischen der e-Datenschutz-Richtlinie und der DSGVO, insbesondere in Bezug auf die Zuständigkeiten, Aufgaben und Befugnisse von Datenschutzbehörden, angenommen am 12.03.2019, Rz 64; in der Folge nur „EDSA Stellungnahme 5/2019“). Für die Einhaltung des Umsetzungsrechtsakts der ePrivacy-RL, dem TKG 2021, ist

Paragraph 191, ff TKG 2021 die Fernmeldebehörde, das Fernmeldebüro bzw die RTR-GmbH zuständig. Daraus ergibt sich, dass für Sachverhalte/Verarbeitungsvorgänge die nur unter die ePrivacy-RL bzw das TKG 2021 fallen, die DSB (belangte Behörde) nicht zuständig ist. 3.1.

1. Zu „gemischten“ Verarbeitungsvorgängen Es ist allerdings – wie die belangte Behörde im Bescheid ausführte – denkbar, dass Sachverhalte, sowohl in den sachlichen Anwendungsbereich der DSGVO als auch der ePrivacy-RL fallen (siehe dazu auch EDSA Stellungnahme 5/2019, Rz 29 ff). In solchen Fällen ist es erforderlich, die einzelnen Verarbeitungsvorgänge eines Sachverhalts zu identifizieren und zuzuordnen, um die jeweilige Behördenzuständigkeit zu bestimmen.Es ist allerdings – wie die belangte Behörde im Bescheid ausführte – denkbar, dass Sachverhalte, sowohl in den sachlichen Anwendungsbereich der DSGVO als auch der ePrivacy-RL fallen (siehe dazu auch EDSA Stellungnahme 5 aus 2019,, Rz 29 ff). In solchen Fällen ist es erforderlich, die einzelnen Verarbeitungsvorgänge eines Sachverhalts zu identifizieren und zuzuordnen, um die jeweilige Behördenzuständigkeit zu bestimmen. Die Datenschutzbehörde kann nämlich die Bestimmungen des TKG 2021 als solche nicht durchsetzen, wenn sie ihre Zuständigkeiten nach der DSGVO ausübt. Allerdings kann sie in Fällen, in denen eine Verarbeitung grundsätzlich Vorgänge betrifft, welche in den sachlichen Anwendungsbereich der ePrivacy-RL fallen, zusätzliche Aspekte (zB vorhergehende oder nachfolgende Verarbeitungstätigkeiten), für die die ePrivacy-RL keine „spezielle Vorschrift“ enthält, aufgreifen (siehe dazu EDSA Stellungnahme 5/2019, Rz 75).Die Datenschutzbehörde kann nämlich die Bestimmungen des TKG 2021 als solche nicht durchsetzen, wenn sie ihre Zuständigkeiten nach der DSGVO ausübt. Allerdings kann sie in Fällen, in denen eine Verarbeitung grundsätzlich Vorgänge betrifft, welche in den sachlichen Anwendungsbereich der ePrivacy-RL fallen, zusätzliche Aspekte (zB vorhergehende oder nachfolgende Verarbeitungstätigkeiten), für die die ePrivacy-RL keine „spezielle Vorschrift“ enthält, aufgreifen (siehe dazu EDSA Stellungnahme 5 aus 2019,, Rz 75). Im Hinblick auf die Feststellungen zur Funktionsweise von XXXX bzw den gegenständlichen Fall, stellen insbesondere die Weiterleitung des Tokens der MP an XXXX zur Risikoanalyse, die Risikoanalyse durch XXXX , die Rückmeldung des Urteils samt Begründungscode von XXXX an die BF und die von der BF durchgeführte „Aktion“, basierend auf der Rückmeldung von XXXX derartige „nachfolgende“ Verarbeitungstätigkeiten dar, die nicht unter die ePrivacy-RL bzw das TKG 2021 fallen. Es besteht zwar auch diesbezüglich ein Zusammenhang mit der Benutzung elektronischer Kommunikationsnetze, allerdings können die aufgezählten Verarbeitungsschritte nicht unter die Begriffe „Speicherung“ bzw „Zugriff“ der ePrivacy-RL subsumiert werden, da es sich hierbei nicht um, den Zugriff auf im Endgerät gespeicherte Informationen (hier ua Browserinformationen, Mausbewegungen, Auslesen von Tokens ect) bzw die Speicherung von Informationen (hier ua Cookies, Token) handelt, sondern um diesen Vorgängen nachgelagerte Verarbeitungen.Im Hinblick auf die Feststellungen zur Funktionsweise von römisch 40 bzw den gegenständlichen Fall, stellen insbesondere die Weiterleitung des Tokens der MP an römisch 40 zur Risikoanalyse, die Risikoanalyse durch römisch 40 , die Rückmeldung des Urteils samt Begründungscode von römisch 40 an die BF und die von der BF durchgeführte „Aktion“, basierend auf der Rückmeldung von römisch 40 derartige „nachfolgende“ Verarbeitungstätigkeiten dar, die nicht unter die ePrivacy-RL bzw das TKG 2021 fallen. Es besteht zwar auch diesbezüglich ein Zusammenhang mit der Benutzung elektronischer Kommunikationsnetze, allerdings können die aufgezählten Verarbeitungsschritte nicht unter die Begriffe „Speicherung“ bzw „Zugriff“ der ePrivacy-RL subsumiert werden, da es sich hierbei nicht um, den Zugriff auf im Endgerät gespeicherte Informationen (hier ua Browserinformationen, Mausbewegungen, Auslesen von Tokens ect) bzw die Speicherung von Informationen (hier ua Cookies, Token) handelt, sondern um diesen Vorgängen nachgelagerte Verarbeitungen. Insofern hat sich die belangte Behörde im Ergebnis zu Recht als für die Behandlung (der hier genannten Teilaspekte der Verarbeitung) für zuständig erachtet. 3.
2. Zur datenschutzrechtlichen Rollenverteilung:

Art 4

Z 7 DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Artikel 4

, Ziffer 7, DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Der Begriff „Verantwortlicher“ ist in Art 4 Z 7 DSGVO weit definiert. Der EuGH hat bereits entschieden, dass jede natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung solcher Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für diese Verarbeitung Verantwortlicher angesehen werden kann. Dabei ist nicht erforderlich, dass über die Zwecke und Mittel der Verarbeitung mittels schriftlicher Anleitungen oder Anweisungen seitens des Verantwortlichen entschieden wird. Aus Art 4 Z 7 DSGVO in Verbindung mit dem

1. Erwägungsgrund der DSGVO ergibt sich, dass eine Einrichtung, wenn sie die in Art 4 Z 7 der DSGVO aufgestellte Voraussetzung erfüllt, nicht nur für jedwede Verarbeitung personenbezogener Daten verantwortlich ist, die durch sie selbst erfolgt, sondern auch für jedwede Verarbeitung, die in ihrem Namen erfolgt. Ein tatsächlicher Zugang zu den Daten ist demnach für die Verantwortlicheneigenschaft nicht zwingend erforderlich (vgl EuGH 05.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rz 28, 30, 36, 40 ff).Der Begriff „Verantwortlicher“ ist in Artikel 4, Ziffer 7, DSGVO weit definiert. Der EuGH hat bereits entschieden, dass jede natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung solcher Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für diese Verarbeitung Verantwortlicher angesehen werden kann. Dabei ist nicht erforderlich, dass über die Zwecke und Mittel der Verarbeitung mittels schriftlicher Anleitungen oder Anweisungen seitens des Verantwortlichen entschieden wird. Aus Artikel 4, Ziffer 7, DSGVO in Verbindung mit dem
2. Erwägungsgrund der DSGVO ergibt sich, dass eine Einrichtung, wenn sie die in Artikel 4, Ziffer 7, der DSGVO aufgestellte Voraussetzung erfüllt, nicht nur für jedwede Verarbeitung personenbezogener Daten verantwortlich ist, die durch sie selbst erfolgt, sondern auch für jedwede Verarbeitung, die in ihrem Namen erfolgt. Ein tatsächlicher Zugang zu den Daten ist demnach für die Verantwortlicheneigenschaft nicht zwingend erforderlich vergleiche EuGH 05.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rz 28, 30, 36, 40 ff). Auf den Fall angewendet bedeutet das: Die BF hat sich als Betreiberin der verfahrensgegenständlichen Website dazu entschieden, den Dienst XXXX einzubinden. Sie hat damit jedenfalls deren Zweck sowie die hierbei verwendeten Mittel bestimmt und ist daher – unabhängig davon, ob sie Zugriff auf die hierbei erhobenen Daten hat – als Verantwortliche zu sehen (vgl die zur Vorgängerbestimmung ergangene Entscheidung in einem vergleichbaren Fall, die auf den gegenständlichen Fall übertragen werden kann, EuGH 29.07.2019, C-40/17, Fashion-ID, Rz 85).Die BF hat sich als Betreiberin der verfahrensgegenständlichen Website dazu entschieden, den Dienst römisch 40 einzubinden. Sie hat damit jedenfalls deren Zweck sowie die hierbei verwendeten Mittel bestimmt und ist daher – unabhängig davon, ob sie Zugriff auf die hierbei erhobenen Daten hat – als Verantwortliche zu sehen vergleiche die zur Vorgängerbestimmung ergangene Entscheidung in einem vergleichbaren Fall, die auf den gegenständlichen Fall übertragen werden kann, EuGH 29.07.2019, C-40/17, Fashion-ID, Rz 85). Es war zwar zu berücksichtigen, dass der Einfluss der BF allenfalls nicht sämtliche Verarbeitungsschritte umfasst (siehe EuGH 29.07.2019, C-40/17, Fashion-ID, Rz 74), die Entscheidung über die Einbindung des Dienstes, die Übermittlung des Tokens der MP, sowie die Aktion, basierend auf der Rückmeldung hat sie aber jedenfalls entschieden, wodurch sie (allenfalls gemeinsam mit XXXX , was aber nicht Verfahrensgegenstand ist) Verantwortliche ist.Es war zwar zu berücksichtigen, dass der Einfluss der BF allenfalls nicht sämtliche Verarbeitungsschritte umfasst (siehe EuGH 29.07.2019, C-40/17, Fashion-ID, Rz 74), die Entscheidung über die Einbindung des Dienstes, die Übermittlung des Tokens der MP, sowie die Aktion, basierend auf der Rückmeldung hat sie aber jedenfalls entschieden, wodurch sie (allenfalls gemeinsam mit römisch 40 , was aber nicht Verfahrensgegenstand ist) Verantwortliche ist. 3.
3. Zur Rechtmäßigkeit der Verarbeitung: Hinsichtlich der Voraussetzungen für die Rechtmäßigkeit der Verarbeitung enthält Art 6 Abs 1 DSGVO eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (vgl EuGH 09.01.2025, C-394/23, Mousse, Rz 25).Hinsichtlich der Voraussetzungen für die Rechtmäßigkeit der Verarbeitung enthält Artikel 6, Absatz eins, DSGVO eine erschöpfende und abschließende Liste der Fälle, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in dieser Bestimmung vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können vergleiche EuGH 09.01.2025, C-394/23, Mousse, Rz 25). Wie die belangte Behörde allerdings zutreffend ausführte, kann eine Verarbeitung, die einem Vorgang, der unter die ePrivacy-RL fällt, nachgelagert ist, nur dann als rechtmäßig iSd DSGVO angesehen werden, wenn sie (auch) die Voraussetzungen der ePrivacy-RL erfüllt (siehe EuGH 17.06.2021, C-597/19, M.I.C.M., Rz 118 mwN). Als Vorfrage war daher zu prüfen, ob die Voraussetzungen der ePrivacy-RL eingehalten wurden. Zwar ist die belangte Behörde hierfür grundsätzlich nicht zuständig, allerdings ist sie

§ 38

AVG (der

17 VwGVG auch im verwaltungsgerichtlichen Verfahren anzuwenden ist) dazu berechtigt auftauchende Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, nach der über die maßgebenden Verhältnisse gewonnenen eigenen Anschauung zu beurteilen und diese Beurteilung ihrem Bescheid zugrunde zu legen.Als Vorfrage war daher zu prüfen, ob die Voraussetzungen der ePrivacy-RL eingehalten wurden. Zwar ist die belangte Behörde hierfür grundsätzlich nicht zuständig, allerdings ist sie

Paragraph 38, AVG (der

17 VwGVG auch im verwaltungsgerichtlichen Verfahren anzuwenden ist) dazu berechtigt auftauchende Vorfragen, die als Hauptfragen von anderen Verwaltungsbehörden oder von den Gerichten zu entscheiden wären, nach der über die maßgebenden Verhältnisse gewonnenen eigenen Anschauung zu beurteilen und diese Beurteilung ihrem Bescheid zugrunde zu legen. 3.3.1. Zu den Anforderungen der ePrivacy-RL Da die gegenständliche Verarbeitung auf einem Zugriff auf Informationen, die im Endgerät eines Teilnehmers oder Nutzers gespeichert sind (hier Browserinformationen, Mausbewegungen, Cookies der MP) basiert, war als Vorfrage zu prüfen, ob die Anforderungen des Art 5 Abs 3 ePrivacy-RL bzw § 165 TKG eingehalten wurden.Da die gegenständliche Verarbeitung auf einem Zugriff auf Informationen, die im Endgerät eines Teilnehmers oder Nutzers gespeichert sind (hier Browserinformationen, Mausbewegungen, Cookies der MP) basiert, war als Vorfrage zu prüfen, ob die Anforderungen des Artikel 5, Absatz 3, ePrivacy-RL bzw Paragraph 165, TKG eingehalten wurden.

§ 165

TKG 2021 ist ein derartiger Zugriff – soweit für das gegenständliche Verfahren relevant – nur dann zulässig, wenn der Benutzer seine Einwilligung gegeben hat, oder der Zugang „unbedingt erforderlich“ war.

Paragraph 165, TKG 2021 ist ein derartiger Zugriff – soweit für das gegenständliche Verfahren relevant – nur dann zulässig, wenn der Benutzer seine Einwilligung gegeben hat, oder der Zugang „unbedingt erforderlich“ war. Während sich der Begriff „erforderlich“ in Art 6 Abs 1 lit f DSGVO auf „die Verarbeitung [personenbezogener Daten] zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten“ bezieht, betrifft der Begriff „unbedingt erforderlich“ in Art 5 Abs 3 zweiter Satz der ePrivacy-RL die Speicherung von Informationen oder den Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, „damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann“. Im Gegensatz zu Art 6 Abs 1 lit f DSGVO setzt daher Art 5 Abs 3 zweiter Satz der ePrivacy-RL für die Zulässigkeit der Speicherung von Informationen oder den Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, keine Interessensabwägung voraus (VwGH 31.10.2023, Ro 2020/04/0024, Rz 23).Während sich der Begriff „erforderlich“ in Artikel 6, Absatz eins, Litera f, DSGVO auf „die Verarbeitung [personenbezogener Daten] zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten“ bezieht, betrifft der Begriff „unbedingt erforderlich“ in Artikel 5, Absatz 3, zweiter Satz der ePrivacy-RL die Speicherung von Informationen oder den Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, „damit der Anbieter eines Dienstes der Informationsgesellschaft, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wurde, diesen Dienst zur Verfügung stellen kann“. Im Gegensatz zu Artikel 6, Absatz eins, Litera f, DSGVO setzt daher Artikel 5, Absatz 3, zweiter Satz der ePrivacy-RL für die Zulässigkeit der Speicherung von Informationen oder den Zugriff auf Informationen, die bereits im Endgerät eines Teilnehmers oder Nutzers gespeichert sind, keine Interessensabwägung voraus (VwGH 31.10.2023, Ro 2020/04/0024, Rz 23). Für die Erforderlichkeit nach Art 6 Abs 1 lit f DSGVO ist nach der Rechtsprechung des EuGH zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist (vgl EuGH 09.01.2025, C-394/23, Mousse, Rz 48 f).Für die Erforderlichkeit nach Artikel 6, Absatz eins, Litera f, DSGVO ist nach der Rechtsprechung des EuGH zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist vergleiche EuGH 09.01.2025, C-394/23, Mousse, Rz 48 f). Für den gegenständlichen Fall bedeutet das: Eine Einwilligung seitens der MP liegt, wie festgestellt, nicht vor. Fraglich ist daher ob der gegenständliche Zugriff „unbedingt erforderlich“ war. Wie der VwGH bereits ausgesprochen hat, ist zwischen der „Erforderlichkeit“ zur Wahrung der Interessen des Verantwortlichen (iSd DSGVO) und der „unbedingten Erforderlichkeit“ damit ein Anbieter einen Dienst zur Verfügung stellen kann (iSd ePrivacy-RL) zu unterscheiden. Für die unbedingte Erforderlichkeit sind demnach weder die Interessen des Verantwortlichen (hier zB möglichst hohe Sicherheit/Verfügbarkeit/Barrierefreiheit der Website) noch jene der betroffenen Person (hier zB Wahrung ihres Rechts auf Privatsphäre) von Bedeutung. Relevant ist nur, ob der Zugriff/die Speicherung unbedingt erforderlich war, um einen vom Teilnehmer ausdrücklich gewünschten Dienst zur Verfügung stellen zu können. Mangels anderslautender Bestimmungen kann dies auch nur im Lichte des Schutzzwecks der ePrivacy-RL (Schutz der Grundrechte und Grundfreiheiten, insbesondere des Rechts auf Privatsphäre, in Bezug auf die Verarbeitung personenbezogener Daten im Bereich der elektronischen Kommunikation sowie den freien Verkehr dieser Daten und von elektronischen Kommunikationsgeräten und -diensten in der Gemeinschaft; vgl Art 1 ePrivacy-RL) gelesen werden. Die unbedingte Erforderlichkeit ist daher aus Sicht des Teilnehmers (der MP) und nicht des Anbieters (der BF) zu beurteilen (vgl dazu Art-29 Gruppe, WP194, Stellungnahme 04/2012 zur Ausnahme von Cookies von der Einwilligungspflicht, angenommen am 07.06.2012, S 13).Für die unbedingte Erforderlichkeit sind demnach weder die Interessen des Verantwortlichen (hier zB möglichst hohe Sicherheit/Verfügbarkeit/Barrierefreiheit der Website) noch jene der betroffenen Person (hier zB Wahrung ihres Rechts auf Privatsphäre) von Bedeutung. Relevant ist nur, ob der Zugriff/die Speicherung unbedingt erforderlich war, um einen vom Teilnehmer ausdrücklich gewünschten Dienst zur Verfügung stellen zu können. Mangels anderslautender Bestimmungen kann dies auch nur im Lichte des Schutzzwecks der ePrivacy-RL (Schutz der Grundrechte und Grundfreiheiten, insbesondere des Rechts auf Privatsphäre, in Bezug auf die Verarbeitung personenbezogener Daten im Bereich der elektronischen Kommunikation sowie den freien Verkehr dieser Daten und von elektronischen Kommunikationsgeräten und -diensten in der Gemeinschaft; vergleiche Artikel eins, ePrivacy-RL) gelesen werden. Die unbedingte Erforderlichkeit ist daher aus Sicht des Teilnehmers (der MP) und nicht des Anbieters (der BF) zu beurteilen vergleiche dazu Art-29 Gruppe, WP194, Stellungnahme 04 aus 2012, zur Ausnahme von Cookies von der Einwilligungspflicht, angenommen am 07.06.2012, S 13). Die „unbedingte Erforderlichkeit“ ist daher als eine technisch-funktionalen Erforderlichkeit zu verstehen, damit ein vom Teilnehmer ausdrücklich gewünschte Dienst auch in der gewünschten Art und Weise funktioniert (vgl Art-29 Gruppe, WP194, Stellungnahme 04/2012 zur Ausnahme von Cookies von der Einwilligungspflicht, angenommen am 07.06.2012, S 7 ff; wonach Sitzungscookies zum Speichern des Warenkorbs in Online-Shops, Authentifizierungscookies bei Websiten mit Anmeldung, Nutzerorientierte Sicherheitscookies zur Verhinderung wiederholt fehlgeschlagener Anmeldeversuche, Multimedia-Player-Sitzungscookies, Lastverteilungs-Sitzungscookies sowie Cookies zur Anpassung der Benutzeroberfläche zB zum Speichern von Spracheinstellungen ebenfalls als unbedingt erforderlich angesehen werden können).Die „unbedingte Erforderlichkeit“ ist daher als eine technisch-funktionalen Erforderlichkeit zu verstehen, damit ein vom Teilnehmer ausdrücklich gewünschte Dienst auch in der gewünschten Art und Weise funktioniert vergleiche Art-29 Gruppe, WP194, Stellungnahme 04 aus 2012, zur Ausnahme von Cookies von der Einwilligungspflicht, angenommen am 07.06.2012, S 7 ff; wonach Sitzungscookies zum Speichern des Warenkorbs in Online-Shops, Authentifizierungscookies bei Websiten mit Anmeldung, Nutzerorientierte Sicherheitscookies zur Verhinderung wiederholt fehlgeschlagener Anmeldeversuche, Multimedia-Player-Sitzungscookies, Lastverteilungs-Sitzungscookies sowie Cookies zur Anpassung der Benutzeroberfläche zB zum Speichern von Spracheinstellungen ebenfalls als unbedingt erforderlich angesehen werden können). Entgegen der Ansicht der belangten Behörde ist die unbedingte Erforderlichkeit daher nicht rein technisch (dann wären die oben genannten Cookies ebenfalls nicht erforderlich), sondern auch funktional zu sehen. Im gegenständlichen Fall brachte die BF vor, dass ihre Website aufgrund von zu erwartenden Angriffen durch DDoS-Attacken sowie aufgrund von Empfehlungen aus durchgeführten Security-/Pen-Tests die Implementierung eines XXXX Dienstes technisch notwendig war, da ansonsten die Erbringung der vom User gewünschten Zwecke ( XXXX ) auch über längere Zeit verunmöglicht hätte werden können. Außerdem sei der Spamschutz untrennbar mit dem Zweck der XXXX verbunden und müsse beides gemeinsam bei der Beurteilung der unbedingten Erforderlichkeit berücksichtigt werden (OZ 1, S 203, 206).Im gegenständlichen Fall brachte die BF vor, dass ihre Website aufgrund von zu erwartenden Angriffen durch DDoS-Attacken sowie aufgrund von Empfehlungen aus durchgeführten Security-/Pen-Tests die Implementierung eines römisch 40 Dienstes technisch notwendig war, da ansonsten die Erbringung der vom User gewünschten Zwecke ( römisch 40 ) auch über längere Zeit verunmöglicht hätte werden können. Außerdem sei der Spamschutz untrennbar mit dem Zweck der römisch 40 verbunden und müsse beides gemeinsam bei der Beurteilung der unbedingten Erforderlichkeit berücksichtigt werden (OZ 1, S 203, 206). Die vom EuGH entwickelten Anforderungen an die „Erforderlichkeit“ im Bezug auf Art 6 Abs 1 lit f DSGVO können aufgrund des vergleichbaren Schutzgedankens – nach Ansicht des erkennenden Senats – auf den vorliegenden Fall übertragen werden. Dies stimmt auch mit der zitierten Rechtsprechung des VwGH (VwGH 31.10.2023, Ro 2020/04/0024, Rz 23) überein, wonach der Unterschied im konkreten Bezugspunkt der Erforderlichkeit (bei der DSGVO die Interessen des Verantwortlichen oder eines Dritten; bei der ePrivacy-RL die Zurverfügungstellung eines Dienstes) sowie im Fehlen einer Interessenabwägung besteht. Es war daher zu prüfen, ob ein von Teilnehmer:innen ausdrücklich gewünschter Dienst nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln zur Verfügung gestellt werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der Teilnehmer:innen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verfügungstellung (technisch) unbedingt notwendig ist (vgl zur Erforderlichkeit nach der DSGVO, EuGH 09.01.2025, C-394/23, Mousse, Rz 48 f).Die vom EuGH entwickelten Anforderungen an die „Erforderlichkeit“ im Bezug auf Artikel 6, Absatz eins, Litera f, DSGVO können aufgrund des vergleichbaren Schutzgedankens – nach Ansicht des erkennenden Senats – auf den vorliegenden Fall übertragen werden. Dies stimmt auch mit der zitierten Rechtsprechung des VwGH (VwGH 31.10.2023, Ro 2020/04/0024, Rz 23) überein, wonach der Unterschied im konkreten Bezugspunkt der Erforderlichkeit (bei der DSGVO die Interessen des Verantwortlichen oder eines Dritten; bei der ePrivacy-RL die Zurverfügungstellung eines Dienstes) sowie im Fehlen einer Interessenabwägung besteht. Es war daher zu prüfen, ob ein von Teilnehmer:innen ausdrücklich gewünschter Dienst nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln zur Verfügung gestellt werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der Teilnehmer:innen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verfügungstellung (technisch) unbedingt notwendig ist vergleiche zur Erforderlichkeit nach der DSGVO, EuGH 09.01.2025, C-394/23, Mousse, Rz 48 f). Im gegenständlichen Fall stand der BF im Hinblick auf die MP der von ihr zuvor genutzte Dienst „ XXXX “ zur Verfügung, der weniger stark in die Grundrechte der MP eingegriffen hätte, da er ohne die festgestellten Datenverarbeitungen und Cookies auskommt. Mit dieser Lösung wäre sowohl der Spamschutz, als auch die XXXX für die MP möglich gewesen.Im gegenständlichen Fall stand der BF im Hinblick auf die MP der von ihr zuvor genutzte Dienst „ römisch 40 “ zur Verfügung, der weniger stark in die Grundrechte der MP eingegriffen hätte, da er ohne die festgestellten Datenverarbeitungen und Cookies auskommt. Mit dieser Lösung wäre sowohl der Spamschutz, als auch die römisch 40 für die MP möglich gewesen. Die BF brachte diesbezüglich vor, dass sie ua

Art 7Abs 1 B-VG bzw §§ 4, 8 BGSt

G dazu verpflichtet gewesen sei ihre Website barrierefrei zu gestalten. Hierbei übersieht die BF, dass der EuGH im Zusammenhang mit der Verarbeitung der Geschlechtsidentität durch ein Personenbeförderungsunternehmen bereits ausgesprochen hat, dass die Unterstützung von Fahrgästen mit einer Behinderung nicht die systematische und allgemeine Verarbeitung der Anrededaten aller Kunden, einschließlich der Kunden, die keine Behinderung haben, rechtfertigen kann (vgl EuGH 09.01.2025, C-394/23, Mousse, Rz 41 f). Diese Überlegung kann auf den vorliegenden Fall übertragen werden. Die Gewährleistung der Barrierefreiheit der Website der BF kann nicht die systematische und allgemeine Verarbeitung der Browserinformationen, Mausbewegungen, Cookie-Informationen ect sämtlicher Website-Besucher:innen rechtfertigen. Hinzu kommt, dass es der BF möglich und zumutbar gewesen wäre, dass sie ihre Website so gestaltet, dass grundsätzlich der weniger stark in die Grundrechte eingreifende Dienst „ XXXX “ zur Anwendung kommt. Um die Barrierefreiheit zu gewährleisten hätte die BF einen Button iSv „Klicken Sie hier für eine barrierefreie Version dieser Website“ implementieren können, auf dem Sie dann einen anderen Dienst (zB XXXX ) verwendet (zu beachten war hierbei auch, dass die BF einen Button bezüglich der Barrierefreiheit bereits auf ihrer Website implementiert hatte, „Barrierefreiheitserklärung“, OZ 1, S 34).Die BF brachte diesbezüglich vor, dass sie ua

Artikel 7, Absatz eins, B-VG bzw Paragraphen 4, 8, BGSt

G dazu verpflichtet gewesen sei ihre Website barrierefrei zu gestalten. Hierbei übersieht die BF, dass der EuGH im Zusammenhang mit der Verarbeitung der Geschlechtsidentität durch ein Personenbeförderungsunternehmen bereits ausgesprochen hat, dass die Unterstützung von Fahrgästen mit einer Behinderung nicht die systematische und allgemeine Verarbeitung der Anrededaten aller Kunden, einschließlich der Kunden, die keine Behinderung haben, rechtfertigen kann vergleiche EuGH 09.01.2025, C-394/23, Mousse, Rz 41 f). Diese Überlegung kann auf den vorliegenden Fall übertragen werden. Die Gewährleistung der Barrierefreiheit der Website der BF kann nicht die systematische und allgemeine Verarbeitung der Browserinformationen, Mausbewegungen, Cookie-Informationen ect sämtlicher Website-Besucher:innen rechtfertigen. Hinzu kommt, dass es der BF möglich und zumutbar gewesen wäre, dass sie ihre Website so gestaltet, dass grundsätzlich der weniger stark in die Grundrechte eingreifende Dienst „ römisch 40 “ zur Anwendung kommt. Um die Barrierefreiheit zu gewährleisten hätte die BF einen Button iSv „Klicken Sie hier für eine barrierefreie Version dieser Website“ implementieren können, auf dem Sie dann einen anderen Dienst (zB römisch 40 ) verwendet (zu beachten war hierbei auch, dass die BF einen Button bezüglich der Barrierefreiheit bereits auf ihrer Website implementiert hatte, „Barrierefreiheitserklärung“, OZ 1, S 34). Da die MP keine barrierefreie Website benötigt, besteht für sie eine gleichwertige Alternative, die sowohl den Spamschutz, als auch den Zweck bzw die Funktionsfähigkeit der Website ( XXXX ) gewährleistet. Die Implementierung des Dienstes XXXX (samt der Verarbeitung von Browserinformationen, Mausbewegungen, Cookie-Informationen der MP) war daher im Hinblick auf die MP nicht unbedingt erforderlich. Die BF hätte hierfür

§ 165

Abs 3 TKG 2021 zwingend eine (aktive) Einwilligung einholen müssen, was sie aber nicht getan hat.Da die MP keine barrierefreie Website benötigt, besteht für sie eine gleichwertige Alternative, die sowohl den Spamschutz, als auch den Zweck bzw die Funktionsfähigkeit der Website ( römisch 40 ) gewährleistet. Die Implementierung des Dienstes römisch 40 (samt der Verarbeitung von Browserinformationen, Mausbewegungen, Cookie-Informationen der MP) war daher im Hinblick auf die MP nicht unbedingt erforderlich. Die BF hätte hierfür

Paragraph 165, Absatz 3, TKG 2021 zwingend eine (aktive) Einwilligung einholen müssen, was sie aber nicht getan hat. Im Ergebnis hat die BF somit die die Anforderungen des Art 5 Abs 3 ePrivacy-RL bzw § 165 TKG nicht eingehalten. Dadurch ist die Verarbeitung allerdings auch nach der DSGVO rechtswidrig (siehe EuGH 17.06.2021, C-597/19, M.I.C.M., Rz 118 mwN).Im Ergebnis hat die BF somit die die Anforderungen des Artikel 5, Absatz 3, ePrivacy-RL bzw Paragraph 165, TKG nicht eingehalten. Dadurch ist die Verarbeitung allerdings auch nach der DSGVO rechtswidrig (siehe EuGH 17.06.2021, C-597/19, M.I.C.M., Rz 118 mwN). Die belangte Behörde hat daher zu Recht eine Verletzung im Recht auf Geheimhaltung festgestellt, weshalb die dagegen gerichtete Beschwerde abzuweisen war. Die Datumsangabe im Spruch war entsprechend richtigzustellen. 3.4. Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. In ihrer Bescheidbeschwerde brachte die BF vor, dass ihr keine Informationen vorliegen würden, wonach XXXX Datenverarbeitungen vornehmen würde, die über den eigentlichen Spam-Schutz hinausgingen und bestritt eine diesbezügliche (dislozierte) Feststellung der belangten Behörde. Da – wie oben ausgeführt – bereits der Spam-Schutz in der gewählten Form nicht unbedingt erforderlich und daher mangels Einwilligung unzulässig war, kam es auf die von der BF bekämpfte Feststellung bezüglich darüberhinausgehender Verarbeitungen nicht an. Im Hinblick auf die bloße Korrektur einer Datumsangabe, welche sich eindeutig aus der dem Akt beiliegenden E-Mail ergab, war nicht erkennbar, inwiefern eine mündliche Erörterung zu einer weiteren Klärung der Rechtssache geführt hätte (vgl dazu VwGH 19.10.2022, Ro 2022/04/0001, RS 5). Dem Entfall der Verhandlung stand auch Art 6 Abs 1 EMRK bzw Art 47 GRC nicht entgegen. Von der mündlichen Verhandlung konnte daher

§ 24Abs 4 Vw

GVG abgesehen werden.3.4. Von der beantragten mündlichen Verhandlung konnte abgesehen werden, da der für die rechtliche Beurteilung entscheidungswesentliche Sachverhalt bereits von der Verwaltungsbehörde vollständig und in einem ordnungsgemäßen Ermittlungsverfahren erhoben wurde und im Zeitpunkt der Entscheidung des erkennenden Gerichts immer noch die gesetzlich gebotene Aktualität und Vollständigkeit aufweist. In ihrer Bescheidbeschwerde brachte die BF vor, dass ihr keine Informationen vorliegen würden, wonach römisch 40 Datenverarbeitungen vornehmen würde, die über den eigentlichen Spam-Schutz hinausgingen und bestritt eine diesbezügliche (dislozierte) Feststellung der belangten Behörde. Da – wie oben ausgeführt – bereits der Spam-Schutz in der gewählten Form nicht unbedingt erforderlich und daher mangels Einwilligung unzulässig war, kam es auf die von der BF bekämpfte Feststellung bezüglich darüberhinausgehender Verarbeitungen nicht an. Im Hinblick auf die bloße Korrektur einer Datumsangabe, welche sich eindeutig aus der dem Akt beiliegenden E-Mail ergab, war nicht erkennbar, inwiefern eine mündliche Erörterung zu einer weiteren Klärung der Rechtssache geführt hätte vergleiche dazu VwGH 19.10.2022, Ro 2022/04/0001, RS 5). Dem Entfall der Verhandlung stand auch Artikel 6, Absatz eins, EMRK bzw Artikel 47, GRC nicht entgegen. Von der mündlichen Verhandlung konnte daher

Paragraph 24, Absatz 4, VwGVG abgesehen werden. 3.5. Es war daher spruchgemäß zu entscheiden. Zu B) (Un)Zulässigkeit der Revision:

§ 25aAbs 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art 133Abs 4 B-VG zulässig ist.

Dieser Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Dieser Ausspruch ist kurz zu begründen. Die Revision ist nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Das erkennende Gericht konnte sich auf die jeweils zitierte Rechtsprechung des VwGH bzw EuGH bezüglich der jeweiligen Anforderungen der ePrivacy-RL bzw der DSGVO sowie die Ausführungen bezüglich der Unterschiede stützen. European Case Law IdentifierECLI:AT:BVWG:2025:W252.2271318.1.00