RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum26.05.2025 GeschäftszahlW101 2280857-1 Spruch, W101 2280857-1/15E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richt

§ 28Abs. 2 Vw

GVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF mit der Maßgabe Folge gegeben, dass die Datenschutzbeschwerde vom 02.09.2021 als unbegründet abzuweisen ist. Der Beschwerde gegen Spruchteil 1. wird

Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF mit der Maßgabe Folge gegeben, dass die Datenschutzbeschwerde vom 02.09.2021 als unbegründet abzuweisen ist. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. , Text

Entscheidungsgründe:, Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang: Mit Eingabe vom 02.09.2021 brachte Frau XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde u.a. gegen die XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) ein, weil sie in ihrem Recht auf Geheimhaltung verletzt worden sei. Sie begründete ihre Datenschutzbeschwerde im Wesentlichen damit, dass sie am 01.09.2021 aus den Medien erfahren habe, ihre Daten betreffend ihr positives COVID-19 Testergebnis seien unrechtmäßig weitergegeben bzw. veröffentlich worden. Mit Eingabe vom 02.09.2021 brachte Frau römisch 40 (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde u.a. gegen die römisch 40 (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) ein, weil sie in ihrem Recht auf Geheimhaltung verletzt worden sei. Sie begründete ihre Datenschutzbeschwerde im Wesentlichen damit, dass sie am 01.09.2021 aus den Medien erfahren habe, ihre Daten betreffend ihr positives COVID-19 Testergebnis seien unrechtmäßig weitergegeben bzw. veröffentlich worden. Mit Stellungnahme vom 28.09.2021 führte die Beschwerdeführerin zur Datenschutzbeschwerde der mitbeteiligten Partei im Wesentlichen Folgendes aus: Die Datenschutzbeschwerde missachte zwingende Formvorschriften, da der Sachverhalt nicht schlüssig dargelegt werde und die mitbeteiligte Partei sich auf einen nicht näher spezifizierten ORF-Beitrag stütze. Es fehle ferner die Begründung, welche Handlung der Beschwerdeführerin überhaupt die Rechtsverletzung darstellen solle. Zudem habe die mitbeteiligte Partei ihre Beschwer nicht ausreichend dargelegt und vermenge Mutmaßungen und Fakten. Richtig sei jedenfalls, dass es zu einer Kompromittierung eines E-Mailpostfachs im Einflussbereich der Beschwerdeführerin gekommen sei, wodurch sich unberechtigte Dritte widerrechtlich Zugang zu einer medial berichteten E-Mail-Nachricht verschaffen hätten können und diese gegenüber dem ORF und dem Standard offengelegt hätten. Die mitbeteiligte Partei habe sich nicht, wie vom Gesetzgeber vorgesehen, an die Beschwerdeführerin gewandt, um Auskunft darüber zu verlangen, ob die mitbeteiligte Partei betreffende personenbezogene Daten verarbeitet werden würden. Stattdessen erhebe die mitbeteiligte Partei nicht näher begründete oder bewiesene Anschuldigungen u.a. gegen die Beschwerdeführerin. Mit Schreiben vom 28.06.2023 hielt die Datenschutzbehörde u.a. der Beschwerdeführerin vor, dass nach amtswegiger Einschau in die der Datenschutzbehörde bekannt gewordene Liste mit Personen, welche positiv auf COVID-19 getestet worden seien, unter der Position 776 der Eintrag XXXX aufscheine. In der Folge war die Beschwerdeführerin aufgefordert worden, mitzuteilen, ob bestritten werde, dass sie von der Sicherheitsverletzung aufgrund der Offenlegung jener Liste betroffen gewesen sei. Mit Schreiben vom 28.06.2023 hielt die Datenschutzbehörde u.a. der Beschwerdeführerin vor, dass nach amtswegiger Einschau in die der Datenschutzbehörde bekannt gewordene Liste mit Personen, welche positiv auf COVID-19 getestet worden seien, unter der Position 776 der Eintrag römisch 40 aufscheine. In der Folge war die Beschwerdeführerin aufgefordert worden, mitzuteilen, ob bestritten werde, dass sie von der Sicherheitsverletzung aufgrund der Offenlegung jener Liste betroffen gewesen sei. Mit Schriftsatz vom 31.07.2023 gab die Beschwerdeführerin insbesondere an, dass zum Inhalt der Excel-Liste keine gesicherte Auskunft erteilt werden könne. Allerdings sei diesbezüglich anzumerken, dass die E-Mail mit den drei Excel-Dateien, welche der Datenschutzbehörde gegenständlich vorliege, offensichtlich nicht dieselbe E-Mail sei, die (tatsächlich vom Geschäftsführer der Beschwerdeführerin versandt worden sei und) im Zuge der von der Beschwerdeführerin beauftragten IT-forensischen Untersuchung wiederhergestellt habe werden können. Mit Bescheid vom 25.08.2023, GZ. D124.4653, 2023-0.614.091, gab die Datenschutzbehörde u.a. der Datenschutzbeschwerde gegen die Beschwerdeführerin statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei im Recht auf Geheimhaltung verletzt habe, indem die Beschwerdeführerin bei der Verarbeitung der COVID-19 Testergebnisse der mitbeteiligten Partei gegen den Grundsatz des Art. 5 Abs. 1 lit. f DSGVO verstoßen habe, sodass diese unrechtmäßig weitergeleitet bzw. offengelegt worden seien (Spruchteil 1.). Mit Bescheid vom 25.08.2023, GZ. D124.4653, 2023-0.614.091, gab die Datenschutzbehörde u.a. der Datenschutzbeschwerde gegen die Beschwerdeführerin statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei im Recht auf Geheimhaltung verletzt habe, indem die Beschwerdeführerin bei der Verarbeitung der COVID-19 Testergebnisse der mitbeteiligten Partei gegen den Grundsatz des Artikel 5, Absatz eins, Litera f, DSGVO verstoßen habe, sodass diese unrechtmäßig weitergeleitet bzw. offengelegt worden seien (Spruchteil 1.). Hinsichtlich des Spruchteils 1. des o.a. Bescheides traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen: Die verfahrensgegenständliche Datenschutzbeschwerde beziehe sich auf eine in zahlreichen Medien kolportierte Sicherheitsverletzung bei der Beschwerdeführerin, wobei nach der medialen Berichterstattung in den ORF News die Daten von mehr als 24.000 positiven Coronavirus-Tests aus Tirol mitsamt den dazugehörigen Personendaten zugespielt worden seien, weil XXXX , der ehemalige Geschäftsführer der Beschwerdeführerin, sie in einer E-Mail verschickt habe. Die verfahrensgegenständliche Datenschutzbeschwerde beziehe sich auf eine in zahlreichen Medien kolportierte Sicherheitsverletzung bei der Beschwerdeführerin, wobei nach der medialen Berichterstattung in den ORF News die Daten von mehr als 24.000 positiven Coronavirus-Tests aus Tirol mitsamt den dazugehörigen Personendaten zugespielt worden seien, weil römisch 40 , der ehemalige Geschäftsführer der Beschwerdeführerin, sie in einer E-Mail verschickt habe. Die Beschwerdeführerin habe am 02.09.2021 eine Meldung von Verletzungen des Schutzes personenbezogener Daten

Art. 33DSGVO bei der Datenschutzbehörde eingebracht, aus der u.a.

zu entnehmen gewesen sei, dass es um den 10.08.2021 zu einem unberechtigten Zugriff auf ein E-Mailpostfach gekommen sei. Bei jenem E-Mailpostfach handle es sich um ein E-Mailpostfach der Beschwerdeführerin, über das XXXX im Rahmen seiner Tätigkeit für die Beschwerdeführerin verfügungsberechtigt gewesen sei.Die Beschwerdeführerin habe am 02.09.2021 eine Meldung von Verletzungen des Schutzes personenbezogener Daten

Artikel 33, DSGVO bei der Datenschutzbehörde eingebracht, aus der u.a.

zu entnehmen gewesen sei, dass es um den 10.08.2021 zu einem unberechtigten Zugriff auf ein E-Mailpostfach gekommen sei. Bei jenem E-Mailpostfach handle es sich um ein E-Mailpostfach der Beschwerdeführerin, über das römisch 40 im Rahmen seiner Tätigkeit für die Beschwerdeführerin verfügungsberechtigt gewesen sei. Die Datenschutzbehörde habe am 02.09.2021 von einem Medienunternehmen eine diesem Medienunternehmen zugespielte Excel-Liste mit Personen erhalten, welche positiv auf COVID-19 getestet worden seien und habe daraufhin ein amtswegiges Prüfverfahren gegen die Beschwerdeführerin unter der GZ. D213.1433 eingeleitet. Unter der Position 776 der erwähnten Excel-Liste befinde sich unter dem Vermerk „Testergebnis POSITIV“ folgender Datensatz zur mitbeteiligten Partei: XXXX römisch 40 Im Zuge des amtswegigen Prüfverfahrens zur GZ. D213.1433, habe es sich herausgestellt, dass XXXX auf Weisung der Beschwerdeführerin gehandelt habe, insbesondere auch beim E-Mail-Versand der Excel-Liste bzw. der Aufbewahrung der Excel-Liste in seinem E-Mailpostfach am 10.08.2021, welches der Beschwerdeführerin zurechenbar sei. Im Zuge des amtswegigen Prüfverfahrens zur GZ. D213.1433, habe es sich herausgestellt, dass römisch 40 auf Weisung der Beschwerdeführerin gehandelt habe, insbesondere auch beim E-Mail-Versand der Excel-Liste bzw. der Aufbewahrung der Excel-Liste in seinem E-Mailpostfach am 10.08.2021, welches der Beschwerdeführerin zurechenbar sei. Die gegenständliche Excel-Liste sei per E-Mail vom – der Beschwerdeführerin zurechenbaren – XXXX versandt worden und habe sich daher ungesichert am 10.08.2021 im E-Mailpostfach des der Beschwerdeführerin zurechenbaren XXXX befunden. Die Excel-Liste sei zumindest gegenüber einem Medienunternehmen, das die Datenschutzbehörde am 02.09.2021 hierüber informiert und die Excel-Liste an die Datenschutzbehörde geschickt habe, offengelegt.Die gegenständliche Excel-Liste sei per E-Mail vom – der Beschwerdeführerin zurechenbaren – römisch 40 versandt worden und habe sich daher ungesichert am 10.08.2021 im E-Mailpostfach des der Beschwerdeführerin zurechenbaren römisch 40 befunden. Die Excel-Liste sei zumindest gegenüber einem Medienunternehmen, das die Datenschutzbehörde am 02.09.2021 hierüber informiert und die Excel-Liste an die Datenschutzbehörde geschickt habe, offengelegt. Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht im Wesentlichen Folgendes: Aus der an die Datenschutzbehörde übermittelten Excel-Liste im Verfahren zur GZ. D213.1433 sei ersichtlich, dass neben dem Namen, dem Geburtsdatum und dem Wohnort auch das COVID-19 Testergebnis, also eine Information über den Gesundheitszustand der mitbeteiligten Partei, angeführt gewesen sei. Bereits die Tatsache, dass die Beschwerdeführerin eine Excel-Liste mit besonders schützenswerten Daten iSd Art. 9 DSGVO ohne Rechtfertigungsgrund insoweit ungesichert in ihrem E-Mailpostfach aufbewahrt habe, sodass unberechtigte Dritte Zugang auf die personenbezogenen Daten erhalten hätten können, begründe eine Verletzung im Recht auf Geheimhaltung, indem es dem Grundsatz der Datensicherheit iSd Art. 5 Abs. 1 lit. f DSGVO sowie dem Grundsatz der Datenminimierung iSd Art. 5 Abs. 1 lit. c DSGVO widerspreche. Bereits die Tatsache, dass die Beschwerdeführerin eine Excel-Liste mit besonders schützenswerten Daten iSd Artikel 9, DSGVO ohne Rechtfertigungsgrund insoweit ungesichert in ihrem E-Mailpostfach aufbewahrt habe, sodass unberechtigte Dritte Zugang auf die personenbezogenen Daten erhalten hätten können, begründe eine Verletzung im Recht auf Geheimhaltung, indem es dem Grundsatz der Datensicherheit iSd Artikel 5, Absatz eins, Litera f, DSGVO sowie dem Grundsatz der Datenminimierung iSd Artikel 5, Absatz eins, Litera c, DSGVO widerspreche. Die gegenständliche Excel-Liste habe neben der Datenschutzbehörde auch anderen Dritten (Medienunternehmen) offengelegt werden können. Es liege hier eine unbefugte Offenlegung vor, weil Dritte ohne entsprechende Rechtsgrundlage nach der DSGVO die Möglichkeit zur Kenntnisnahme der erwähnten Daten gehabt hätten. Neben dem unbefugten Zugang liege somit auch eine unbefugte Weiterleitung bzw. Offenlegung der Daten der mitbeteiligten Partei an Dritte iSd Art. 4 Z 12 DSGVO vor. Die gegenständliche Excel-Liste habe neben der Datenschutzbehörde auch anderen Dritten (Medienunternehmen) offengelegt werden können. Es liege hier eine unbefugte Offenlegung vor, weil Dritte ohne entsprechende Rechtsgrundlage nach der DSGVO die Möglichkeit zur Kenntnisnahme der erwähnten Daten gehabt hätten. Neben dem unbefugten Zugang liege somit auch eine unbefugte Weiterleitung bzw. Offenlegung der Daten der mitbeteiligten Partei an Dritte iSd Artikel 4, Ziffer 12, DSGVO vor. Die Beschwerdeführerin sei ihrer Rechenschaftspflicht

Art. 5Abs. 2 DSGVO und insbesondere dem Grundsatz der Integrität und Vertraulichkeit i

Sd Art. 5 Abs. 1 lit. f DSGVO (Datensicherheit) nicht nachgekommen. Dadurch, dass personenbezogene Daten – auch besonders geschützte – der mitbeteiligten Partei unrechtmäßig bzw. ungesichert durch die Beschwerdeführerin verarbeitet worden seien und es in weiterer Folge zu einer unrechtmäßigen Übermittlung bzw. Offenlegung im Rahmen einer Sicherheitsverletzung gekommen sei, sei die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung

§ 1Abs.

1 DSG verletzt worden. Die Beschwerdeführerin sei ihrer Rechenschaftspflicht

Artikel 5, Absatz 2, DSGVO und insbesondere dem Grundsatz der Integrität und Vertraulichkeit i

Sd Artikel 5, Absatz eins, Litera f, DSGVO (Datensicherheit) nicht nachgekommen. Dadurch, dass personenbezogene Daten – auch besonders geschützte – der mitbeteiligten Partei unrechtmäßig bzw. ungesichert durch die Beschwerdeführerin verarbeitet worden seien und es in weiterer Folge zu einer unrechtmäßigen Übermittlung bzw. Offenlegung im Rahmen einer Sicherheitsverletzung gekommen sei, sei die mitbeteiligte Partei in ihrem Recht auf Geheimhaltung

Paragraph eins, Absatz eins, DSG verletzt worden. In der gegen den Spruchteil 1. dieses Bescheides fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor: Die Feststellung, dass die verfahrensgegenständliche E-Mail am 10.08.2021 um 13:08 Uhr von XXXX versendet worden sei, sei nicht richtig, denn er habe zwar am selben Tag eine E-Mail versendet, jedoch zu einer anderen Zeit, nämlich um 10:30 Uhr. Allerdings habe die belangte Behörde die gegenständliche E-Mail im Verfahren zur GZ. D124.4989 nicht offengelegt, weswegen die Beschwerdeführerin nicht bereits zu einem früheren Zeitpunkt die belangte Behörde darauf aufmerksam habe machen können, dass diese um 13:08 Uhr versandte E-Mail eine Fälschung sei. Dementsprechend sei die Feststellung der belangten Behörde unrichtig, dass die ihr angeblich vorliegende Excel-Liste durch XXXX versandt worden sei und sich diese am 10.08.2021 ungesichert in einem der Beschwerdeführerin zurechenbaren E-Mailpostfach befunden habe. Dadurch sei es auch zu keiner unrechtmäßigen Übermittlung bzw. Offenlegung gekommen. Die Beschwerdeführerin sei in Bezug auf die gegenständliche E-Mail vielmehr selbst Opfer eines unberechtigten Zugriffs durch unbekannte Täter geworden. Die Feststellung, dass die verfahrensgegenständliche E-Mail am 10.08.2021 um 13:08 Uhr von römisch 40 versendet worden sei, sei nicht richtig, denn er habe zwar am selben Tag eine E-Mail versendet, jedoch zu einer anderen Zeit, nämlich um 10:30 Uhr. Allerdings habe die belangte Behörde die gegenständliche E-Mail im Verfahren zur GZ. D124.4989 nicht offengelegt, weswegen die Beschwerdeführerin nicht bereits zu einem früheren Zeitpunkt die belangte Behörde darauf aufmerksam habe machen können, dass diese um 13:08 Uhr versandte E-Mail eine Fälschung sei. Dementsprechend sei die Feststellung der belangten Behörde unrichtig, dass die ihr angeblich vorliegende Excel-Liste durch römisch 40 versandt worden sei und sich diese am 10.08.2021 ungesichert in einem der Beschwerdeführerin zurechenbaren E-Mailpostfach befunden habe. Dadurch sei es auch zu keiner unrechtmäßigen Übermittlung bzw. Offenlegung gekommen. Die Beschwerdeführerin sei in Bezug auf die gegenständliche E-Mail vielmehr selbst Opfer eines unberechtigten Zugriffs durch unbekannte Täter geworden. Ferner sei die um 10:30 Uhr versandte echte E-Mail samt den Excel-Dateien, ausreichend gesichert und verschlüsselt gewesen. Dabei habe die angewandte Verschlüsselung aufgrund angemessenen technischen und organisatorischen Maßnahmen jedenfalls den gesetzlichen Vorgaben an die Datensicherheit entsprochen. Der Versand der echten E-Mail sei daher rechtskonform erfolgt. Schließlich sei festzuhalten, dass die spezifischen Datensicherheitsbestimmungen des 2. Abschnitts des Gesundheitstelematikgesetzes 2012 (GTelG 2012) den Bestimmungen des Art. 32 DSGVO vorgehen würden, weswegen die Beschwerdeführerin bei der Übermittlung von Gesundheitsdaten sowie genetischen Daten den Datensicherheitsbestimmungen des GTelG 2012 unterlegen habe. Mit dem 2.-COVID-19 Gesetz seien vorläufige Erleichterungen hinsichtlich der Übermittlung von Gesundheitsdaten eingeführt worden und zum Zeitpunkt der Übermittlung der gegenständlichen E-Mail am 10.08.2021 hätten daher vereinfachte Übermittlungsmodalitäten von Gesundheitsdaten sowie genetischen Daten gegolten, wonach die Übermittlung per E-Mail habe erfolgen dürfen. Aus diesen Gründen sei der Versand des echten E-Mails vom 10.08.2021 jedenfalls rechtmäßig erfolgt. Schließlich sei festzuhalten, dass die spezifischen Datensicherheitsbestimmungen des 2. Abschnitts des Gesundheitstelematikgesetzes 2012 (GTelG 2012) den Bestimmungen des Artikel 32, DSGVO vorgehen würden, weswegen die Beschwerdeführerin bei der Übermittlung von Gesundheitsdaten sowie genetischen Daten den Datensicherheitsbestimmungen des GTelG 2012 unterlegen habe. Mit dem 2.-COVID-19 Gesetz seien vorläufige Erleichterungen hinsichtlich der Übermittlung von Gesundheitsdaten eingeführt worden und zum Zeitpunkt der Übermittlung der gegenständlichen E-Mail am 10.08.2021 hätten daher vereinfachte Übermittlungsmodalitäten von Gesundheitsdaten sowie genetischen Daten gegolten, wonach die Übermittlung per E-Mail habe erfolgen dürfen. Aus diesen Gründen sei der Versand des echten E-Mails vom 10.08.2021 jedenfalls rechtmäßig erfolgt. Die Beschwerdeführerin stellten sohin die Anträge, das Bundesverwaltungsgericht möge 1. eine mündliche Verhandlung durchführen; 2. den Spruchteil 1. des angefochtenen Bescheides aufheben und diesen dahingehend abändern, dass die verfahrenseinleitende Datenschutzbeschwerde als unbegründet abgewiesen werde; und 3. in eventu den Spruchteil 1. des angefochtenen Bescheides aufheben und zur Entscheidung an die belangte Behörde zurückverweisen. Mit Schreiben der Datenschutzbehörde vom 08.11.2023, eingelangt am 09.11.2023, war die Beschwerde gegen Spruchteil 1. des angefochtenen Bescheides samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt worden. Mit Schreiben vom 21.11.2023 stellte die Beschwerdeführerin einen Antrag auf Verbindung des gegenständlichen Verfahrens mit dem beim Bundesverwaltungsgericht zur Zl. W101 2267859-1 geführten Verfahren. Mit Stellungnahme vom 10.01.2024 führte die Beschwerdeführerin im Wesentlichen Folgendes aus: Sie rege an, das Bundesverwaltungsgericht möge die beiden anhängigen Beschwerdeverfahren zu den Zlen. W101 2280857-1 sowie W101 2267859-1 aussetzen, bis über das derzeit bei der Datenschutzbehörde anhängige Verwaltungsstrafverfahren zur GZ. D550.672 rechtskräftig entschieden worden sei. Zudem werde zur gefälschten E-Mail sowie zum rechtmäßigen Versand der echten E-Mail ausgeführt, dass XXXX am 10.08.2021 eine E-Mail an XXXX samt drei Excel-Listen versendet habe. Unmittelbar nach dem Versand der E-Mail habe XXXX einen Anruf vom XXXX erhalten, woraufhin beide die betreffende E-Mail unverzüglich gelöscht hätten. Durch einen bis dato nicht aufgeklärten widerrechtlichen Zugriff sei es anschließend zu einer Kompromittierung des E-Mailpostfaches von XXXX gekommen. Als Folge sei es trotz erfolgter Löschung der E-Mail und trotz des kurzen Zeitraumes zwischen Versand an XXXX und Löschung durch sowohl den Sender als auch den Empfänger zu einer von der Beschwerdeführerin nicht zu verantwortenden Offenlegung der gegenständlichen E-Mail durch Dritte gekommen. Zudem werde zur gefälschten E-Mail sowie zum rechtmäßigen Versand der echten E-Mail ausgeführt, dass römisch 40 am 10.08.2021 eine E-Mail an römisch 40 samt drei Excel-Listen versendet habe. Unmittelbar nach dem Versand der E-Mail habe römisch 40 einen Anruf vom römisch 40 erhalten, woraufhin beide die betreffende E-Mail unverzüglich gelöscht hätten. Durch einen bis dato nicht aufgeklärten widerrechtlichen Zugriff sei es anschließend zu einer Kompromittierung des E-Mailpostfaches von römisch 40 gekommen. Als Folge sei es trotz erfolgter Löschung der E-Mail und trotz des kurzen Zeitraumes zwischen Versand an römisch 40 und Löschung durch sowohl den Sender als auch den Empfänger zu einer von der Beschwerdeführerin nicht zu verantwortenden Offenlegung der gegenständlichen E-Mail durch Dritte gekommen. Auch die Offenlegung an die Medienunternehmen durch unbekannte Täter sei der Beschwerdeführerin nicht zuzurechnen. Daher habe sie kein positives COVID-19 Testergebnis der mitbeteiligten Partei unrechtmäßig weitergegeben bzw. veröffentlicht. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen: 1. Feststellungen: XXXX war von 14.10.2020 bis 06.06.2021 der Geschäftsführer der XXXX (= Beschwerdeführerin). Seit 07.06.2021 ist XXXX Geschäftsführerin der Beschwerdeführerin. römisch 40 war von 14.10.2020 bis 06.06.2021 der Geschäftsführer der römisch 40 (= Beschwerdeführerin). Seit 07.06.2021 ist römisch 40 Geschäftsführerin der Beschwerdeführerin. Am 30.08.2021 war die Datenschutzbehörde von zwei Medienunternehmen („ORF Tirol“ und „Der Standard“) per E-Mail darüber informiert worden, dass sie Kenntnis über eine Sicherheitsverletzung bei der Beschwerdeführerin mit Bezug auf Gesundheitsdaten von Covid getesteten Personen erlangt hatten. Diese E-Mail-Nachricht vom 30.08.2021 an die Datenschutzbehörde enthielt als Anhänge eine Excel-Liste und ein PDF-Dokument. Das PDF-Dokument („Frage.pdf“) enthielt einen angeblichen „Screenshot“, auf dem zu ersehen ist: Auf dem „Screenshot“ waren demzufolge als Anhänge drei Excel-Listen mit folgenden Tagesbezeichnungen zu ersehen: 14.04.2021, 19.04.2021 und 04.05.2021. Fest steht, dass der Datenschutzbehörde am 30.08.2021 nur die Excel-Liste vom 04.05.2021, benannt „20210504_2200_Verdachtsfälle_mit_bestätigten_Fällen_tessa.xlsx“, von den Medienunternehmen übermittelt wurde. Diese eine Excel-Liste enthielt rund 24.000 Datensätze von betroffenen Personen mit folgenden Patientendaten: Vorname, Nachname, Alter, Geburtsdatum, Postleitzahl, Ort, „Point of Care“, Details zu den Tests wie Mutationen, Testdatum und CT-Wert. Unter der Position 776 dieser Excel-Liste befindet sich unter dem Vermerk „Testergebnis POSITIV“ folgender Datensatz zur mitbeteiligten Partei: XXXX römisch 40 Für die gegenständlich zur Last gelegte Verwaltungsübertretung einer unrechtmäßigen Verarbeitung von Gesundheitsdaten hat die Datenschutzbehörde in einem demselben Sachverhalt zugrundeliegenden Verwaltungsstrafverfahren, GZ. D550.672, als Tatzeitpunkt den „10.08.2021 um 13:08 Uhr“ festgelegt (siehe oben auf dem „Screenshot“), der auch für das vorliegende Verfahren relevant ist. Der Senat hatte daher vorrangig zu prüfen, ob die Excel-Liste vom 04.05.2021 tatsächlich im Anhang des Mails vom 10.08.2021 um 13:08 Uhr von XXXX , an XXXX gesendet wurde. Die Prüfung hat Folgendes ergeben:Der Senat hatte daher vorrangig zu prüfen, ob die Excel-Liste vom 04.05.2021 tatsächlich im Anhang des Mails vom 10.08.2021 um 13:08 Uhr von römisch 40 , an römisch 40 gesendet wurde. Die Prüfung hat Folgendes ergeben: XXXX hat im Auftrag der Geschäftsführerin der Beschwerdeführerin am 10.08.2021 um ca. 10:00 Uhr – seiner ersten E-Mail-Nachricht dieses Tages – mit der Frage „Kannst du damit etwas anfangen?“ drei Excel-Listen von unterschiedlichen drei Tagen gesendet. Zum Zeitpunkt der Übermittlung dieser E-Mail-Nachricht war er im Glauben, er habe vor der Versendung aus diesen drei Excel-Listen die Gesundheitsdaten der Betroffenen vorher gelöscht. XXXX hat auf diese E-Mail-Nachricht am Vormittag des 10.08.2021 nicht unmittelbar reagiert, weil er sich im Urlaub befunden hat. Daher hat XXXX mehrmals sogenannte Reminder an XXXX gesendet und zwar mit derselben Frage mit jeweils alternierender Anrede „Hi XXXX “ oder „Hallo XXXX “ und dem alternierenden Gruß „LG XXXX “ oder „LG XXXX “. Es liegen insgesamt drei derartige Reminder vom E-Mailpostfach des XXXX vom 10.08.2021 ohne jeglichen Anhang vor (10:30 Uhr, 10:51 Uhr und 13:08 Uhr). römisch 40 hat im Auftrag der Geschäftsführerin der Beschwerdeführerin am 10.08.2021 um ca. 10:00 Uhr – seiner ersten E-Mail-Nachricht dieses Tages – mit der Frage „Kannst du damit etwas anfangen?“ drei Excel-Listen von unterschiedlichen drei Tagen gesendet. Zum Zeitpunkt der Übermittlung dieser E-Mail-Nachricht war er im Glauben, er habe vor der Versendung aus diesen drei Excel-Listen die Gesundheitsdaten der Betroffenen vorher gelöscht. römisch 40 hat auf diese E-Mail-Nachricht am Vormittag des 10.08.2021 nicht unmittelbar reagiert, weil er sich im Urlaub befunden hat. Daher hat römisch 40 mehrmals sogenannte Reminder an römisch 40 gesendet und zwar mit derselben Frage mit jeweils alternierender Anrede „Hi römisch 40 “ oder „Hallo römisch 40 “ und dem alternierenden Gruß „LG römisch 40 “ oder „LG römisch 40 “. Es liegen insgesamt drei derartige Reminder vom E-Mailpostfach des römisch 40 vom 10.08.2021 ohne jeglichen Anhang vor (10:30 Uhr, 10:51 Uhr und 13:08 Uhr). Es steht fest, dass XXXX zwar am 10.08.2021 um 13:08 Uhr eine E-Mail-Nachricht an XXXX gesendet hat, aber dies als weiteren „Reminder“ ohne Anhang. Es steht fest, dass römisch 40 zwar am 10.08.2021 um 13:08 Uhr eine E-Mail-Nachricht an römisch 40 gesendet hat, aber dies als weiteren „Reminder“ ohne Anhang. XXXX hat am Nachmittag des 10.08.2021 um ca. 15:00 Uhr XXXX am Telefon mitgeteilt, dass in den dem Mail angehängten Excel-Listen die Gesundheitsdaten betroffener Personen enthalten waren und er diese daher sofort gelöscht habe. XXXX hat im Anschluss an das Telefonat ebenso sofort die erste E-Mail-Nachricht von ca. 10:00 Uhr mit den angehängten drei Excel-Listen gelöscht. römisch 40 hat am Nachmittag des 10.08.2021 um ca. 15:00 Uhr römisch 40 am Telefon mitgeteilt, dass in den dem Mail angehängten Excel-Listen die Gesundheitsdaten betroffener Personen enthalten waren und er diese daher sofort gelöscht habe. römisch 40 hat im Anschluss an das Telefonat ebenso sofort die erste E-Mail-Nachricht von ca. 10:00 Uhr mit den angehängten drei Excel-Listen gelöscht. Für diese am 10.08.2021 von XXXX gelöschte E-Mail-Nachricht mit den drei angehängten Excel-Listen gibt es keinen Nachweis und diese Nachricht war nicht mehr wiederherstellbar. Dies aus zweierlei Gründen: Die Protokolldaten des E-Mailpostfachs von XXXX werden aufgrund einer entsprechenden Einstellung in der Microsoft Office 365 Cloud-Umgebung nach Ablauf von sieben Tagen automatisch unwiderruflich gelöscht. Eine E-Mail-Nachricht kann grundsätzlich binnen 30 Tagen nach der erfolgten Löschung wiederhergestellt werden. Als im September 2021 ein Mitarbeiter der XXXX GmbH von XXXX beauftragt wurde, erfolgte Löschungen von E-Mails betreffend „Frage“ seines E-Mailpostfaches wiederherzustellen, waren die 30 Tage für die am Nachmittag des 10.08.2021 gelöschte E-Mail-Nachricht bereits abgelaufen.Für diese am 10.08.2021 von römisch 40 gelöschte E-Mail-Nachricht mit den drei angehängten Excel-Listen gibt es keinen Nachweis und diese Nachricht war nicht mehr wiederherstellbar. Dies aus zweierlei Gründen: Die Protokolldaten des E-Mailpostfachs von römisch 40 werden aufgrund einer entsprechenden Einstellung in der Microsoft Office 365 Cloud-Umgebung nach Ablauf von sieben Tagen automatisch unwiderruflich gelöscht. Eine E-Mail-Nachricht kann grundsätzlich binnen 30 Tagen nach der erfolgten Löschung wiederhergestellt werden. Als im September 2021 ein Mitarbeiter der römisch 40 GmbH von römisch 40 beauftragt wurde, erfolgte Löschungen von E-Mails betreffend „Frage“ seines E-Mailpostfaches wiederherzustellen, waren die 30 Tage für die am Nachmittag des 10.08.2021 gelöschte E-Mail-Nachricht bereits abgelaufen. Die von XXXX an XXXX am 10.08.2021 gesendeten drei Reminder ohne Anhang waren hingegen binnen 30 Tagen ab Löschung wiederherstellbar, weil diese E-Mails von ihm zu unterschiedlichen späteren Zeitpunkten gelöscht wurden. Die von römisch 40 an römisch 40 am 10.08.2021 gesendeten drei Reminder ohne Anhang waren hingegen binnen 30 Tagen ab Löschung wiederherstellbar, weil diese E-Mails von ihm zu unterschiedlichen späteren Zeitpunkten gelöscht wurden. Laut Zeuge XXXX wurde eine am 30.08.2021 um 10:57 Uhr von XXXX gelöschte E-Mail-Nachricht im Zuge der forensischen Untersuchung der XXXX GmbH wiederhergestellt. Laut Mail des XXXX vom 13.09.2021 an seine Frau war die E-Mail-Nachricht des 10.08.2021 um 13:08 Uhr die von dem Mitarbeiter wiederhergestellte E-Mail-Nachricht an XXXX vom 10.08.2021. Laut Zeuge römisch 40 wurde eine am 30.08.2021 um 10:57 Uhr von römisch 40 gelöschte E-Mail-Nachricht im Zuge der forensischen Untersuchung der römisch 40 GmbH wiederhergestellt. Laut Mail des römisch 40 vom 13.09.2021 an seine Frau war die E-Mail-Nachricht des 10.08.2021 um 13:08 Uhr die von dem Mitarbeiter wiederhergestellte E-Mail-Nachricht an römisch 40 vom 10.08.2021. Bei der wiederhergestellten E-Mail-Nachricht vom 10.08.2021 um 13:08 Uhr, welches der Zeuge XXXX von seinem Handy aus per E-Mail übermittelt hat, war kein Anhang zu ersehen:Bei der wiederhergestellten E-Mail-Nachricht vom 10.08.2021 um 13:08 Uhr, welches der Zeuge römisch 40 von seinem Handy aus per E-Mail übermittelt hat, war kein Anhang zu ersehen: Aus dem MIME-Header dieser E-Mail-Nachricht vom 10.08.2021 um 13:08 Uhr ist zu ersehen: Der CONTENT-Type dieser E-Mail-Nachricht lautet: „Multipart/Alternative“. Dieser CONTENT-Type bedeutet, dass die E-Mail mehrere alternative Darstellungen desselben Inhalts – hier eine reine Textversion und eine HTML-Version – enthalten. Dem zufolge war diesem E-Mail kein Anhang beigefügt. Ein solcher wäre typischerweise mit „Multipart/Mixed“ verbunden gewesen. Auch die im MIME-Header enthaltene Eigenschaft „Boundary“ gibt Hinweis darauf, dass gerade kein Anhang dem E-Mail ursprünglich beigefügt war. Die dort zu findenden (Pseudozufällig generierten) Daten separieren nämlich nur die beiden alternativen Darstellungen einer Textversion und einer HTML-Version. Weiters ist die Beifügung eines Anhangs an das ursprüngliche E-Mail vom 10.08.2021 um 13:08 Uhr auszuschließen, weil im Header auch kein Hinweis auf die Eigenschaft „CONTENT-Disposition: Attachment;“ vorhanden war, die aber im Falle eines Anhangs zu erwarten gewesen wäre. Aus diesen Gründen steht fest, dass der von den Medienunternehmen am 30.08.2021 vorgelegte angebliche „Screenshot“ einer E-Mail-Nachricht vom 10.08.2021 um 13:08 Uhr mit drei Excel-Listen mit den Dateinamen „20210414…“, „20210419…“ und „20210504…“ tatsächlich nicht vom E-Mailpostfach des XXXX an XXXX gesendet wurde.Aus diesen Gründen steht fest, dass der von den Medienunternehmen am 30.08.2021 vorgelegte angebliche „Screenshot“ einer E-Mail-Nachricht vom 10.08.2021 um 13:08 Uhr mit drei Excel-Listen mit den Dateinamen „20210414…“, „20210419…“ und „20210504…“ tatsächlich nicht vom E-Mailpostfach des römisch 40 an römisch 40 gesendet wurde. Aufgrund dessen steht fest, dass XXXX im Auftrag der Beschwerdeführerin am „10.08.2021 um 13:08 Uhr“ die Verwaltungsübertretung einer unrechtmäßigen Verarbeitung von Gesundheitsdaten nicht begangen hat.Aufgrund dessen steht fest, dass römisch 40 im Auftrag der Beschwerdeführerin am „10.08.2021 um 13:08 Uhr“ die Verwaltungsübertretung einer unrechtmäßigen Verarbeitung von Gesundheitsdaten nicht begangen hat. Für die der Beschwerdeführerin aufgrund der Offenlegung der Gesundheitsdaten der mitbeteiligten Partei an unbefugte Dritte zur Last gelegte Tat einer Sicherheitsverletzung in Zusammenhang mit dem Verstoß gegen die Grundsätze der Datensicherheit iSd Art. 5 Abs. 1 lit. f DSGVO sowie der Datenminimierung iSd. Art. 5 Abs. 1 lit. c DSGVO bei der Verarbeitung der genannten Gesundheitsdaten hat die Datenschutzbehörde im demselben Sachverhalt zugrundeliegenden Verwaltungsstrafverfahren, GZ. D550.672, als Tatzeitraum „zumindest vom 10.08.2021 bis 30.08.2021“ festgelegt. Hinsichtlich dieser Tat war folglich der ganze Tag des 10.08.2021 vom Senat einer Prüfung mit folgendem Ergebnis zu unterziehen:Für die der Beschwerdeführerin aufgrund der Offenlegung der Gesundheitsdaten der mitbeteiligten Partei an unbefugte Dritte zur Last gelegte Tat einer Sicherheitsverletzung in Zusammenhang mit dem Verstoß gegen die Grundsätze der Datensicherheit iSd Artikel 5, Absatz eins, Litera f, DSGVO sowie der Datenminimierung iSd. Artikel 5, Absatz eins, Litera c, DSGVO bei der Verarbeitung der genannten Gesundheitsdaten hat die Datenschutzbehörde im demselben Sachverhalt zugrundeliegenden Verwaltungsstrafverfahren, GZ. D550.672, als Tatzeitraum „zumindest vom 10.08.2021 bis 30.08.2021“ festgelegt. Hinsichtlich dieser Tat war folglich der ganze Tag des 10.08.2021 vom Senat einer Prüfung mit folgendem Ergebnis zu unterziehen: Es steht fest, dass XXXX von seinem E-Mailpostfach am 10.08.2021 um ca. 10:00 Uhr eine E-Mail-Nachricht mit drei Excel-Listen von unterschiedlichen Tagen an XXXX gesendet hat. Es steht fest, dass römisch 40 von seinem E-Mailpostfach am 10.08.2021 um ca. 10:00 Uhr eine E-Mail-Nachricht mit drei Excel-Listen von unterschiedlichen Tagen an römisch 40 gesendet hat. Mangels nicht vorhandener Protokolldaten für das Postfach XXXX für den 10.08.2021 und aufgrund der nicht Wiederherstellbarkeit der E-Mail-Nachricht um 10:00 Uhr gibt es keinen Nachweis dafür, dass die Excel-Liste „20210504…“ mit rund 24.000 Datensätzen betroffener Personen samt den Gesundheitsdaten der mitbeteiligten Partei neben zwei anderen Excel-Listen im Anhang an XXXX gesendet wurden. XXXX hat nämlich als Zeuge bei der Benennung der Excel-Listen als Anhang seiner E-Mail-Nachricht des 10.08.2021 um 10:00 Uhr nur von drei „unterschiedlichen Tagen“ gesprochen, das konkrete Datum der einzelnen Tage konnte er jedenfalls nicht benennen. Mangels nicht vorhandener Protokolldaten für das Postfach römisch 40 für den 10.08.2021 und aufgrund der nicht Wiederherstellbarkeit der E-Mail-Nachricht um 10:00 Uhr gibt es keinen Nachweis dafür, dass die Excel-Liste „20210504…“ mit rund 24.000 Datensätzen betroffener Personen samt den Gesundheitsdaten der mitbeteiligten Partei neben zwei anderen Excel-Listen im Anhang an römisch 40 gesendet wurden. römisch 40 hat nämlich als Zeuge bei der Benennung der Excel-Listen als Anhang seiner E-Mail-Nachricht des 10.08.2021 um 10:00 Uhr nur von drei „unterschiedlichen Tagen“ gesprochen, das konkrete Datum der einzelnen Tage konnte er jedenfalls nicht benennen. Daraus folgt, dass der Data-Breach durch die Beschwerdeführerin – wie in den Medien am 01.09.2021 kolportiert und der Datenschutzbehörde gemeldet – mit an Sicherheit grenzender Wahrscheinlichkeit nicht stattgefunden hat. 2. Beweiswürdigung: Die obigen Feststellungen zu der Funktion eines (einer) Geschäftsführer(

1. in)des XXXX und der XXXX ergeben sich aus dem aktuellen Firmenbuchauszug der beschuldigten XXXX (= Beilage des Verhandlungsprotokolls vom 10.04.2025, Zl. W101 2295861-1/24Z).Die obigen Feststellungen zu der Funktion eines (einer) Geschäftsführer(
2. in)des römisch 40 und der römisch 40 ergeben sich aus dem aktuellen Firmenbuchauszug der beschuldigten römisch 40 (= Beilage des Verhandlungsprotokolls vom 10.04.2025, Zl. W101 2295861-1/24Z). Die Datenschutzbehörde ist in einem demselben Sachverhalt zugrundeliegenden Verwaltungsstrafverfahren (spruchgemäß in Spruchteil I. des Straferkenntnisses, GZ. D550.672, 2024-0.005.787) davon ausgegangen, dass sich im Anhang der E-Mail-Nachricht vom 10.08.2021 um 13:08 Uhr „drei Excel-Dateien mit rund 24.000 Datensätzen“ befunden hätten. Die Datenschutzbehörde ist in einem demselben Sachverhalt zugrundeliegenden Verwaltungsstrafverfahren (spruchgemäß in Spruchteil römisch eins. des Straferkenntnisses, GZ. D550.672, 2024-0.005.787) davon ausgegangen, dass sich im Anhang der E-Mail-Nachricht vom 10.08.2021 um 13:08 Uhr „drei Excel-Dateien mit rund 24.000 Datensätzen“ befunden hätten. Im Zuge der aufgrund der gegen das Straferkenntnis vom 06.06.2024, GZ. D550.672, 2024-0.005.787, erhobenen Beschwerde durchgeführten mündlichen Verhandlung vom 23.04.2025 (vgl. Zl. W101 2295861-1/42Z) wurde die Excel-Liste auf dem Computer des Behördenvertreters, welche von den Medien am 30.08.2021 der Datenschutzbehörde per E-Mail im Anhang übermittelt wurde, vom Senat gemeinsam mit den Anwesenden gesichtet. Die Sichtung hat ergeben, dass insgesamt rund 24.000 Datensätze von getesteten Personen in einem Zeitraum vom 01.01.2021 bis 04.05.2021 auf dieser Excel-Liste mit dem Dateinamen „20210504_2200_Verdachtsfälle_mit_bestätigten_Fällen_tessa.xlsx“ enthalten ist. In dieser Excel-Liste sind nur betroffene Personen angeführt, deren Test entweder „positiv“ oder ungültig („invalid“) ausgefallen ist. Die eingesehene Excel-Liste war ident mit dem PDF-Dokument vorgelegt bei Beschwerdevorlage (vgl. W101 2295861-1/2) und dem nochmals vorgelegten PDF-Dokument zu Beginn der Verhandlung am 23.04.2025 (vgl. Zl. W101 2295861-1/42Z). Daher wurde oben festgestellt, dass nur eine Excel-Liste vom „20210504…“ der Datenschutzbehörde von den Medien vorgelegt wurde. Im Zuge der aufgrund der gegen das Straferkenntnis vom 06.06.2024, GZ. D550.672, 2024-0.005.787, erhobenen Beschwerde durchgeführten mündlichen Verhandlung vom 23.04.2025 vergleiche Zl. W101 2295861-1/42Z) wurde die Excel-Liste auf dem Computer des Behördenvertreters, welche von den Medien am 30.08.2021 der Datenschutzbehörde per E-Mail im Anhang übermittelt wurde, vom Senat gemeinsam mit den Anwesenden gesichtet. Die Sichtung hat ergeben, dass insgesamt rund 24.000 Datensätze von getesteten Personen in einem Zeitraum vom 01.01.2021 bis 04.05.2021 auf dieser Excel-Liste mit dem Dateinamen „20210504_2200_Verdachtsfälle_mit_bestätigten_Fällen_tessa.xlsx“ enthalten ist. In dieser Excel-Liste sind nur betroffene Personen angeführt, deren Test entweder „positiv“ oder ungültig („invalid“) ausgefallen ist. Die eingesehene Excel-Liste war ident mit dem PDF-Dokument vorgelegt bei Beschwerdevorlage vergleiche W101 2295861-1/2) und dem nochmals vorgelegten PDF-Dokument zu Beginn der Verhandlung am 23.04.2025 vergleiche Zl. W101 2295861-1/42Z). Daher wurde oben festgestellt, dass nur eine Excel-Liste vom „20210504…“ der Datenschutzbehörde von den Medien vorgelegt wurde. Dass die personenbezogenen Daten sowie Gesundheitsdaten der mitbeteiligten Partei in dieser von den Medien der Datenschutzbehörde vorgelegten Excel-Liste enthalten sind, gründet sich ebenfalls aus der diesbezüglich erfolgten Einsichtnahme in die Excel-Datei. Die ehemalige Rechtsvertretung der Beschwerdeführerin hat sowohl in der Beschwerde als auch im Verwaltungsstrafverfahren vor der Datenschutzbehörde mit schriftlicher Stellungnahme vom 10.02.2023, GZ. D550.672, 2023-0.117.394, insbesondere geltend gemacht, dass die „echte E-Mail“ von XXXX am 10.08.2021 um 10:30 Uhr und nicht um 13:08 Uhr an XXXX gesendet worden sei. Die E-Mail vom 10.08.2021 um 10:30 Uhr liegt im Verwaltungsakt, GZ. D550.672, auf, hierzu wurde von der ehemaligen Rechtsvertretung auch eine eidesstaatliche Erklärung des XXXX vorgelegt. In der mündlichen Verhandlung vom 11.04.2025 (vgl. Zl. W101 2295861-1/25Z) hat XXXX weiters eine E-Mail-Nachricht vom 10.08.2021 um 10:51 Uhr in Vorlage gebracht. XXXX hat als Zeuge am 11.04.2025 insbesondere ausgesagt, er habe die E-Mail-Nachricht an XXXX mit den drei Excel-Listen von drei unterschiedlichen Tagen als erste E-Mail-Nachricht des 10.08.2021 um ca. 10:00 Uhr gesendet. Die ehemalige Rechtsvertretung der Beschwerdeführerin hat sowohl in der Beschwerde als auch im Verwaltungsstrafverfahren vor der Datenschutzbehörde mit schriftlicher Stellungnahme vom 10.02.2023, GZ. D550.672, 2023-0.117.394, insbesondere geltend gemacht, dass die „echte E-Mail“ von römisch 40 am 10.08.2021 um 10:30 Uhr und nicht um 13:08 Uhr an römisch 40 gesendet worden sei. Die E-Mail vom 10.08.2021 um 10:30 Uhr liegt im Verwaltungsakt, GZ. D550.672, auf, hierzu wurde von der ehemaligen Rechtsvertretung auch eine eidesstaatliche Erklärung des römisch 40 vorgelegt. In der mündlichen Verhandlung vom 11.04.2025 vergleiche Zl. W101 2295861-1/25Z) hat römisch 40 weiters eine E-Mail-Nachricht vom 10.08.2021 um 10:51 Uhr in Vorlage gebracht. römisch 40 hat als Zeuge am 11.04.2025 insbesondere ausgesagt, er habe die E-Mail-Nachricht an römisch 40 mit den drei Excel-Listen von drei unterschiedlichen Tagen als erste E-Mail-Nachricht des 10.08.2021 um ca. 10:00 Uhr gesendet. Die Datenschutzbehörde weist in ihrer schriftlichen Stellungnahme vom 29.04.2025 (vgl. Zl. W101 2295861-1/44) zwar richtigerweise darauf hin, dass diese Aussagen von XXXX im Widerspruch zu vorherigen Aussagen des Zeugen und auch teilweise im Widerspruch zu vorherigen Aussagen von XXXX stehen. Nach Ansicht des Senats sind aber die in der mündlichen Verhandlung (vgl. Zl. W101 2295861-1/24Z und W101 2295861-1/25Z) getätigten Aussagen von XXXX und XXXX sehr wohl glaubwürdig und zwar aus folgenden Erwägungen: Die Datenschutzbehörde weist in ihrer schriftlichen Stellungnahme vom 29.04.2025 vergleiche Zl. W101 2295861-1/44) zwar richtigerweise darauf hin, dass diese Aussagen von römisch 40 im Widerspruch zu vorherigen Aussagen des Zeugen und auch teilweise im Widerspruch zu vorherigen Aussagen von römisch 40 stehen. Nach Ansicht des Senats sind aber die in der mündlichen Verhandlung vergleiche Zl. W101 2295861-1/24Z und W101 2295861-1/25Z) getätigten Aussagen von römisch 40 und römisch 40 sehr wohl glaubwürdig und zwar aus folgenden Erwägungen: Sowohl XXXX war sich sicher, dass er am 10.08.2021 nur eine E-Mail-Nachricht mit drei Excel-Listen im Anhang gesendet hatte, als auch XXXX war sich sicher, eine E-Mail-Nachricht mit drei Excel-Listen im Anhang erhalten zu haben. XXXX war – wie oben festgestellt – im Glauben bei der Übersendung der E-Mail-Nachricht mit den drei Anhängen, die personenbezogenen Gesundheitsdaten der Betroffenen vorher gelöscht zu haben. Als er dann am Nachmittag des 10.08.2021 von XXXX angerufen wurde mit der Mitteilung, dass in den Anhängen doch die Datensätze so vieler betroffener Personen enthalten gewesen seien, herrschte bei beiden große Aufregung. Es ist sogar ausgesprochen lebensnah, dass auch XXXX in der Aufregung nur schnell selbst dafür gesorgt hat, dass auch seine E-Mail-Nachricht samt den Anhängen von ihm auch sofort am Nachmittag des 10.08.2021 gelöscht wurde. Der Senat erachtet es als ausschlaggebend, dass beide – der Absender und der Empfänger der E-Mail-Nachricht – sicher sind, am 10.08.2021 nur eine (erste) E-Mail-Nachricht mit drei Excel-Listen gesendet bzw. erhalten zu haben und die sensiblen Anhänge am selben Tag noch gelöscht zu haben. Da bei den Einvernahmen vor dem Landeskriminalamt Tirol und der Datenschutzbehörde immer nur die Rede von der E-Mail-Nachricht mit drei Excel-Listen im Anhang war, erscheint es verständlich, dass sowohl XXXX als auch XXXX in diesen Einvernahmen das Senden und Erhalten einer solchen E-Mail-Nachricht bestätigt haben, aber ohne auf die konkrete Uhrzeit des Absendens der Mail geachtet zu haben. In diesem Zusammenhang gilt es auch zu berücksichtigen, dass bis zum 10.02.2023 der Datenschutzbehörde nur die E-Mail-Nachricht „vom 10.08.2021 um 13:08 Uhr“ bekannt war, wie sie auf dem in den Feststellungen abgebildeten „Screenshot“ vom 10.08.2021 zu ersehen war. Sowohl römisch 40 war sich sicher, dass er am 10.08.2021 nur eine E-Mail-Nachricht mit drei Excel-Listen im Anhang gesendet hatte, als auch römisch 40 war sich sicher, eine E-Mail-Nachricht mit drei Excel-Listen im Anhang erhalten zu haben. römisch 40 war – wie oben festgestellt – im Glauben bei der Übersendung der E-Mail-Nachricht mit den drei Anhängen, die personenbezogenen Gesundheitsdaten der Betroffenen vorher gelöscht zu haben. Als er dann am Nachmittag des 10.08.2021 von römisch 40 angerufen wurde mit der Mitteilung, dass in den Anhängen doch die Datensätze so vieler betroffener Personen enthalten gewesen seien, herrschte bei beiden große Aufregung. Es ist sogar ausgesprochen lebensnah, dass auch römisch 40 in der Aufregung nur schnell selbst dafür gesorgt hat, dass auch seine E-Mail-Nachricht samt den Anhängen von ihm auch sofort am Nachmittag des 10.08.2021 gelöscht wurde. Der Senat erachtet es als ausschlaggebend, dass beide – der Absender und der Empfänger der E-Mail-Nachricht – sicher sind, am 10.08.2021 nur eine (erste) E-Mail-Nachricht mit drei Excel-Listen gesendet bzw. erhalten zu haben und die sensiblen Anhänge am selben Tag noch gelöscht zu haben. Da bei den Einvernahmen vor dem Landeskriminalamt Tirol und der Datenschutzbehörde immer nur die Rede von der E-Mail-Nachricht mit drei Excel-Listen im Anhang war, erscheint es verständlich, dass sowohl römisch 40 als auch römisch 40 in diesen Einvernahmen das Senden und Erhalten einer solchen E-Mail-Nachricht bestätigt haben, aber ohne auf die konkrete Uhrzeit des Absendens der Mail geachtet zu haben. In diesem Zusammenhang gilt es auch zu berücksichtigen, dass bis zum 10.02.2023 der Datenschutzbehörde nur die E-Mail-Nachricht „vom 10.08.2021 um 13:08 Uhr“ bekannt war, wie sie auf dem in den Feststellungen abgebildeten „Screenshot“ vom 10.08.2021 zu ersehen war. Ebenso ist es nachvollziehbar und lebensnah, dass nur jene E-Mail-Nachricht, welche eine so große Datenmenge von sensiblen personenbezogenen Daten enthalten hat, sofort gelöscht wird, aber die weiteren Reminder desselben Tages, welche alle drei keine Anhänge beinhalteten, weiterhin im E-Mailpostfach belassen werden. Weiters ist nachvollziehbar, dass die Reminder mit derselben Frage zu späteren Zeitpunkten von XXXX gelöscht worden sind, sodass eine solche E-Mail-Nachricht vom 10.08.2021, welche erst am 30.08.2021 von ihm gelöscht wurde, wiederherstellbar war durch einen Mitarbeiter der XXXX GmbH.Ebenso ist es nachvollziehbar und lebensnah, dass nur jene E-Mail-Nachricht, welche eine so große Datenmenge von sensiblen personenbezogenen Daten enthalten hat, sofort gelöscht wird, aber die weiteren Reminder desselben Tages, welche alle drei keine Anhänge beinhalteten, weiterhin im E-Mailpostfach belassen werden. Weiters ist nachvollziehbar, dass die Reminder mit derselben Frage zu späteren Zeitpunkten von römisch 40 gelöscht worden sind, sodass eine solche E-Mail-Nachricht vom 10.08.2021, welche erst am 30.08.2021 von ihm gelöscht wurde, wiederherstellbar war durch einen Mitarbeiter der römisch 40 GmbH. Die Feststellung, dass die von XXXX am 10.08.2021 gelöschte E-Mail-Nachricht mit den Anhängen nicht mehr nachweisbar bzw. wiederherstellbar war, ergibt sich aus folgenden zwei Gründen: Im Bericht der XXXX GmbH vom 13.01.2022 ist festgehalten, dass aufgrund der Lizenzierungsoption der Microsoft Office 365 Cloud-Umgebung alle Protokolle automatisch nach sieben Tagen endgültig gelöscht werden. Der Zeuge XXXX hat in der Verhandlung am 10.04.2025 u.a. ausgesagt (siehe S. 10 unten der Zl. W101 2295861-1/24Z): Er habe in dem E-Mailpostfach von XXXX eine gesendete E-Mail-Nachricht mit dem Betreff „Frage“ gefunden. In dem Screenshot wäre nur eine am 30.08.2021 um 10:57 Uhr gelöschte Nachricht gewesen. Die gelöschte Nachricht selbst habe er nicht sehen können. Auf Wunsch von XXXX habe er diese am 30.08.2021 gelöschte E-Mail-Nachricht wiederhergestellt. Dem sei er nachgekommen. Seines Wissens nach seien grundsätzlich aus einem Postfach endgültig gelöschte Nachrichten insgesamt 30 Tage lang wiederherstellbar. Der Zeuge XXXX hat in der Verhandlung am 10.04.2025 nämlich ausgesagt (siehe S. 11 mittig der Zl. W101 2295861-1/24Z): Wenn es bei einer wiederhergestellten E-Mail-Nachricht Anhänge gibt, sind diese Anhänge 1:1 wieder dabei.Die Feststellung, dass die von römisch 40 am 10.08.2021 gelöschte E-Mail-Nachricht mit den Anhängen nicht mehr nachweisbar bzw. wiederherstellbar war, ergibt sich aus folgenden zwei Gründen: Im Bericht der römisch 40 GmbH vom 13.01.2022 ist festgehalten, dass aufgrund der Lizenzierungsoption der Microsoft Office 365 Cloud-Umgebung alle Protokolle automatisch nach sieben Tagen endgültig gelöscht werden. Der Zeuge römisch 40 hat in der Verhandlung am 10.04.2025 u.a. ausgesagt (siehe S. 10 unten der Zl. W101 2295861-1/24Z): Er habe in dem E-Mailpostfach von römisch 40 eine gesendete E-Mail-Nachricht mit dem Betreff „Frage“ gefunden. In dem Screenshot wäre nur eine am 30.08.2021 um 10:57 Uhr gelöschte Nachricht gewesen. Die gelöschte Nachricht selbst habe er nicht sehen können. Auf Wunsch von römisch 40 habe er diese am 30.08.2021 gelöschte E-Mail-Nachricht wiederhergestellt. Dem sei er nachgekommen. Seines Wissens nach seien grundsätzlich aus einem Postfach endgültig gelöschte Nachrichten insgesamt 30 Tage lang wiederherstellbar. Der Zeuge römisch 40 hat in der Verhandlung am 10.04.2025 nämlich ausgesagt (siehe S. 11 mittig der Zl. W101 2295861-1/24Z): Wenn es bei einer wiederhergestellten E-Mail-Nachricht Anhänge gibt, sind diese Anhänge 1:1 wieder dabei. Festzuhalten bleibt, dass diese Aussage des Zeugen XXXX auch mit den Aussagen von XXXX zu dem Reminder vom 10.08.2021 um 13:08 Uhr übereinstimmend sind. Festzuhalten bleibt, dass diese Aussage des Zeugen römisch 40 auch mit den Aussagen von römisch 40 zu dem Reminder vom 10.08.2021 um 13:08 Uhr übereinstimmend sind. In der Verhandlung vom 09.05.2025 (vgl. Zl. W101 2295861-1/53Z) wurde schließlich der MIME-Header der E- Mail-Nachricht vom 10.08.2021 um 13:08 Uhr vom Senat gemeinsam mit den Anwesenden gesichtet. Die obigen Feststellungen zum MIME-Header wurden vom Rechtsvertreter der Beschwerdeführerin am 23.04.2025 mit Zl. W101 2295861-1/41 vorgebracht und in der mündlichen Verhandlung desselben Tages (vgl. Zl. W101 2295861-1/42Z) in das Beweisverfahren des Verwaltungsstrafverfahrens aufgenommen. Die Angaben des Rechtsvertreters der Beschwerdeführerin konnten durch eine Information auf einer Seite von Microsoft bestätigend abgeglichen werden. Es findet sich nämlich unter Message Text | Microsoft Learn folgende Information in englischer Sprache (https://learn.microsoft.com/en-us/office/client-developer/outlook/mapi/message-text): „For outbound messages in MIME mode, the content-type depends on whether there are attachments and what the message text looks like. If there are attachments, the Content-type is multipart/mixed; the message text and each attachment become a separate part of the message content, each with its own content-type. If there are no attachments, the content-type of the message is text/plain and there is only one part.”In der Verhandlung vom 09.05.2025 vergleiche Zl. W101 2295861-1/53Z) wurde schließlich der MIME-Header der E- Mail-Nachricht vom 10.08.2021 um 13:08 Uhr vom Senat gemeinsam mit den Anwesenden gesichtet. Die obigen Feststellungen zum MIME-Header wurden vom Rechtsvertreter der Beschwerdeführerin am 23.04.2025 mit Zl. W101 2295861-1/41 vorgebracht und in der mündlichen Verhandlung desselben Tages vergleiche Zl. W101 2295861-1/42Z) in das Beweisverfahren des Verwaltungsstrafverfahrens aufgenommen. Die Angaben des Rechtsvertreters der Beschwerdeführerin konnten durch eine Information auf einer Seite von Microsoft bestätigend abgeglichen werden. Es findet sich nämlich unter Message Text | Microsoft Learn folgende Information in englischer Sprache (https://learn.microsoft.com/en-us/office/client-developer/outlook/mapi/message-text): „For outbound messages in MIME mode, the content-type depends on whether there are attachments and what the message text looks like. römisch eins f there are attachments, the Content-type is multipart/mixed; the message text and each attachment become a separate part of the message content, each with its own content-type. römisch eins f there are no attachments, the content-type of the message is text/plain and there is only one part.” Der MIME-Header ist somit der durchschlagende Beweis dafür, dass diese E-Mail-Nachricht tatsächlich keine Anhänge enthielt. Von Seiten der Datenschutzbehörde wurde die Echtheit dieser E-Mail-Nachricht zwar bestritten, aber ohne dafür einen Beweis liefern zu können. Vor diesen Hintergründen sind die obigen Feststellungen zu der ersten E-Mail mit Anhängen um ca. 10:00 Uhr und den drei Reminder um 10:30 Uhr, 10:51 Uhr und 13:08 Uhr getroffen worden. Aus Sicht des Senats hat eine unbekannte Person den Medien den „Screenshot“ – wie oben zu Beginn festgestellt – nur zu dem Zweck den Medien übermittelt, um der beschuldigten juristischen Person und den dahinterstehenden Personen (dem Ehepaar XXXX ) zu schaden. Aus Sicht des Senats hat eine unbekannte Person den Medien den „Screenshot“ – wie oben zu Beginn festgestellt – nur zu dem Zweck den Medien übermittelt, um der beschuldigten juristischen Person und den dahinterstehenden Personen (dem Ehepaar römisch 40 ) zu schaden. Nach Meinung des Senats hat daher auch mit nahezu grenzender Sicherheit kein Data-Breach beim E-Mailpostfach von XXXX stattgefunden. Hierbei hat auch Berücksichtigung gefunden, dass im XXXX GmbH vom 13.01.2022 als Ergebnis der forensischen Untersuchung festgehalten wurde, ein Data-Breach beim Postfach von XXXX sei nicht nachvollziehbar gewesen.Nach Meinung des Senats hat daher auch mit nahezu grenzender Sicherheit kein Data-Breach beim E-Mailpostfach von römisch 40 stattgefunden. Hierbei hat auch Berücksichtigung gefunden, dass im römisch 40 GmbH vom 13.01.2022 als Ergebnis der forensischen Untersuchung festgehalten wurde, ein Data-Breach beim Postfach von römisch 40 sei nicht nachvollziehbar gewesen. 3. Rechtliche Beurteilung: 3.1.

Art. 130Abs.

1 Z 1 B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1.

Artikel 130

, Absatz eins, Ziffer eins, B-VG entscheiden die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Abs.

1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 leg. cit. und der Entscheidungspflicht der Datenschutzbehörde.

§ 27Abs.

2 erster Satz DSG bestzeht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Paragraph 27, Absatz eins, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7, leg. cit. und der Entscheidungspflicht der Datenschutzbehörde.

Paragraph 27, Absatz 2, erster Satz DSG bestzeht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor. 3.2.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.3.2.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. 3.

1. Zu A) 3.3.
2. Anzuwendende Rechtslage: 3.3.1.
3. Die maßgeblichen Bestimmungen der DSGVO: Artikel 4 DSGVO – Begriffsbestimmungen:
4. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
5. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
6. -
7. (…)
8. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
9. (…)
10. „Empfänger“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. Behörden, die im Rahmen eines bestimmten Untersuchungsauftrags nach dem Unionsrecht oder dem Recht der Mitgliedstaaten möglicherweise personenbezogene Daten erhalten, gelten jedoch nicht als Empfänger; die Verarbeitung dieser Daten durch die genannten Behörden erfolgt im Einklang mit den geltenden Datenschutzvorschriften

den Zwecken der Verarbeitung;

1. „Dritter“ eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen oder des Auftragsverarbeiters befugt sind, die personenbezogenen Daten zu verarbeiten;
2. (…)
3. „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden;
4. -
5. (…)
6. „Gesundheitsdaten“ personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen;
7. -
8. (…) Artikel 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten: a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“); b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

Kapitel IX

Kapitel römisch neun.

Absatz 1 Buchstaben c und e wird festgelegt durch

1. a)Unionsrecht oder
2. b)das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welche Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel IX

. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welche Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

Artikel 9

verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten

Artikel 10

verarbeitet werden,

1. d)die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
2. e)das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann Artikel 9 DSGVO – Verarbeitung besonderer Kategorien personenbezogener Daten:

Artikel 89Absatz 1 erforderlich.

Artikel 40

oder eines genehmigten Zertifizierungsverfahrens

Artikel 42kann als Faktor herangezogen werden, um die Erfüllung der in Absatz 1 des vorliegenden Artikels genannten Anforderungen nachzuweisen.

§ 1Abs.

1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch

Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Die Beschwerdeführerin hat im gegenständlichen Fall die ihr von der Datenschutzbehörde vorgehaltene E-Mail mit den drei Excel-Dateien am 10.08.2021 um 13:08 Uhr – wie oben festgestellt – nicht an XXXX versendet, weswegen in diesem Zusammenhang eine unrechtmäßige Verarbeitung personenbezogener Daten besonderer Kategorien

Art. 9Abs.

1 DSGVO der mitbeteiligten Partei zu verneinen ist. Die Beschwerdeführerin hat im gegenständlichen Fall die ihr von der Datenschutzbehörde vorgehaltene E-Mail mit den drei Excel-Dateien am 10.08.2021 um 13:08 Uhr – wie oben festgestellt – nicht an römisch 40 versendet, weswegen in diesem Zusammenhang eine unrechtmäßige Verarbeitung personenbezogener Daten besonderer Kategorien

Artikel 9, Absatz eins, DSGVO der mitbeteiligten Partei zu verneinen ist.

Darüber hinaus konnte – wie oben festgestellt – die der Beschwerdeführerin zur Last gelegte Tat einer am 10.08.2021 um ca. 10:00 Uhr erfolgte Sicherheitsverletzung iSd Art. 32 Abs. 1 DSGVO, verbunden mit dem Verstoß gegen die Grundsätze der Datensicherheit iSd Art. 5 Abs. 1 lit. f DSGVO sowie der Datenminimierung iSd. Art. 5 Abs. 1 lit. c DSGVO bei der Verarbeitung von Gesundheitsdaten (im Zeitraum vom 01.01.2021 bis einschließlich 04.05.2021) nicht erwiesen werden. Denn es gibt keinen Nachweis dafür, dass sich im Anhang der durch XXXX versendeten E-Mail am 10.08.2021 um ca. 10:00 Uhr die Excel-Liste mit den Gesundheitsdaten der mitbeteiligten Partei, benannt „20210504 (…) tessa.xlsx“, befunden hat.Darüber hinaus konnte – wie oben festgestellt – die der Beschwerdeführerin zur Last gelegte Tat einer am 10.08.2021 um ca. 10:00 Uhr erfolgte Sicherheitsverletzung iSd Artikel 32, Absatz eins, DSGVO, verbunden mit dem Verstoß gegen die Grundsätze der Datensicherheit iSd Artikel 5, Absatz eins, Litera f, DSGVO sowie der Datenminimierung iSd. Artikel 5, Absatz eins, Litera c, DSGVO bei der Verarbeitung von Gesundheitsdaten (im Zeitraum vom 01.01.2021 bis einschließlich 04.05.2021) nicht erwiesen werden. Denn es gibt keinen Nachweis dafür, dass sich im Anhang der durch römisch 40 versendeten E-Mail am 10.08.2021 um ca. 10:00 Uhr die Excel-Liste mit den Gesundheitsdaten der mitbeteiligten Partei, benannt „20210504 (…) tessa.xlsx“, befunden hat. Der zuständige Senat gelangt folglich aus den dargelegten Gründen zu dem maßgebenden Ergebnis, dass die mitbeteiligte Partei von der Beschwerdeführerin nicht in ihrem Recht auf Geheimhaltung verletzt wurde. Da dem angefochtenen Spruchteil 1. des o.a. Bescheides aus diesem Grund eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG anhaftet, war der Beschwerde hinsichtlich des Spruchteils 1.

§ 28Abs. 2 Vw

GVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF mit der Maßgabe Folge zu geben, dass die Datenschutzbeschwerde vom 02.09.2021 abzuweisen ist.Da dem angefochtenen Spruchteil 1. des o.a. Bescheides aus diesem Grund eine Rechtswidrigkeit iSd Artikel 130, Absatz eins, Ziffer eins, B-VG anhaftet, war der Beschwerde hinsichtlich des Spruchteils 1.

Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF mit der Maßgabe Folge zu geben, dass die Datenschutzbeschwerde vom 02.09.2021 abzuweisen ist. 3.4.

§ 24Abs. 1 Vw

GVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.3.4.

Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Die Beschwerdeführerin hat gegenständlich einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt, dem indirekt entsprochen wurde, weil im (bei derselben Gerichtsabteilung anhängig gewesenen) Verwaltungsstrafverfahren, Zl. W101 2295861-1, dem in den Spruchteilen I. und II. des Straferkenntnisses vom 06.06.2024 derselbe Sachverhalt zugrunde liegt, am 10.,

1. und 23.04.2025 sowie am 09.05.2025 eine mündliche Verhandlung durchgeführt wurde. Die Beschwerdeführerin hat gegenständlich einen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt, dem indirekt entsprochen wurde, weil im (bei derselben Gerichtsabteilung anhängig gewesenen) Verwaltungsstrafverfahren, Zl. W101 2295861-1, dem in den Spruchteilen römisch eins. und römisch zwei. des Straferkenntnisses vom 06.06.2024 derselbe Sachverhalt zugrunde liegt, am 10.,
2. und 23.04.2025 sowie am 09.05.2025 eine mündliche Verhandlung durchgeführt wurde. 3.
3. Zu B) Unzulässigkeit der Revision: Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. European Case Law IdentifierECLI:AT:BVWG:2025:W101.2280857.1.00