RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum23.02.2026 GeschäftszahlW137 2257661-1 Spruch, W137 2257661-1/15E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

§ 28Abs. 2 Vw

GVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen. Die Beschwerde wird

Paragraph 28, Absatz 2, VwGVG in Verbindung mit Paragraph 24, Absatz eins und Absatz 5, DSG idgF als unbegründet abgewiesen. B) Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. Text

Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

1. Mit verfahrenseinleitender Eingabe vom 31.10.2019 (eingelangt am 13.11.2019) erhob XXXX (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die XXXX (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen einer behaupteten Verletzung im Recht auf Geheimhaltung, Auskunft, Widerspruch und Löschung. Begründend wurde im Wesentlichen ausgeführt, dass die mitbeteiligte Partei aufgrund einer Google-Suche am 07.08.2019 auf die Website XXXX gelangt sei. Dort sei diese mit einer „Cookiebar“ konfrontiert worden, habe jedoch keine Einwilligung in die Verarbeitung ihrer Daten erteilt. Im Anschluss sei der mitbeteiligten Partei aufgefallen, dass ihr Werbung jenes Unternehmens im Browser angezeigt worden sei, dessen Website sie – ohne Abgabe einer Einwilligung zur Datenverarbeitung – besucht habe. Eine Kontrolle des verwendeten Computers habe ergeben, dass die Website trotz der fehlenden Einwilligung Analyse-, Profiling- und Retargetingdienste geladen und Skripte von Drittanbieterdiensten ausgeführt habe. Gegenständlich liege ein klarer Fall der gemeinsamen Verantwortung des Unternehmens als Websitebetreiber und den Betreibern der Drittanbieterdienste, für eine illegale Verarbeitung der IP-Adresse, Cookies sowie weiterer Daten zur Erstellung eines eindeutigen „Browser-Fingerprints“, vor. Zudem sei die Beschwerdeführerin den Aufforderungen der mitbeteiligten Partei – auch im Zusammenhang mit weiteren Betroffenenrechten – nicht nachgekommen.
2. Mit verfahrenseinleitender Eingabe vom 31.10.2019 (eingelangt am 13.11.2019) erhob römisch 40 (= mitbeteiligte Partei vor dem Bundesverwaltungsgericht und Antragstellerin vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die römisch 40 (= Beschwerdeführerin vor dem Bundesverwaltungsgericht und Beschwerdegegnerin vor der Datenschutzbehörde) wegen einer behaupteten Verletzung im Recht auf Geheimhaltung, Auskunft, Widerspruch und Löschung. Begründend wurde im Wesentlichen ausgeführt, dass die mitbeteiligte Partei aufgrund einer Google-Suche am 07.08.2019 auf die Website römisch 40 gelangt sei. Dort sei diese mit einer „Cookiebar“ konfrontiert worden, habe jedoch keine Einwilligung in die Verarbeitung ihrer Daten erteilt. Im Anschluss sei der mitbeteiligten Partei aufgefallen, dass ihr Werbung jenes Unternehmens im Browser angezeigt worden sei, dessen Website sie – ohne Abgabe einer Einwilligung zur Datenverarbeitung – besucht habe. Eine Kontrolle des verwendeten Computers habe ergeben, dass die Website trotz der fehlenden Einwilligung Analyse-, Profiling- und Retargetingdienste geladen und Skripte von Drittanbieterdiensten ausgeführt habe. Gegenständlich liege ein klarer Fall der gemeinsamen Verantwortung des Unternehmens als Websitebetreiber und den Betreibern der Drittanbieterdienste, für eine illegale Verarbeitung der IP-Adresse, Cookies sowie weiterer Daten zur Erstellung eines eindeutigen „Browser-Fingerprints“, vor. Zudem sei die Beschwerdeführerin den Aufforderungen der mitbeteiligten Partei – auch im Zusammenhang mit weiteren Betroffenenrechten – nicht nachgekommen.
3. Mit Stellungnahme vom 31.01.2020 brachte die Beschwerdeführerin im Wesentlichen vor, dass auf ihrer Website gebräuchliche Cookie-Technologie zum Einsatz komme. Im Rahmen dieser Cookies würden jedoch keine personenbezogenen Daten der mitbeteiligten Partei verarbeitet. Eine von der mitbeteiligten Partei behauptete „Gemeinsame Verantwortung“ der Beschwerdeführerin mit den Dienstleistern scheitere somit bereits am mangelnden Personenbezug. Dieser könne auch nicht nachträglich hergestellt werden. Selbst wenn man davon ausgehen würde, dass es möglich sei, die gesammelten Daten einer identifizierten oder identifizierbaren Person zuordnen, sei dies der Beschwerdeführerin selbst – mit verhältnismäßigem Aufwand – nicht möglich, sodass von anonymen Daten auszugehen sei. Das Datenschutzrecht könne folglich keine Anwendung finden. Darüber hinaus habe die mitbeteiligte Partei die Beschwerdeführerin im Zusammenhang mit den weiteren Betroffenenrechten nicht vorab befasst und sei der mitbeteiligten Partei mit Schreiben vom 30.08.2019 eine „Negativauskunft“

Art. 15

DSGVO erteilt worden.Darüber hinaus habe die mitbeteiligte Partei die Beschwerdeführerin im Zusammenhang mit den weiteren Betroffenenrechten nicht vorab befasst und sei der mitbeteiligten Partei mit Schreiben vom 30.08.2019 eine „Negativauskunft“

Artikel 15, DSGVO erteilt worden.

1. Mit Eingabe vom 01.06.2020 (eingelangt am 12.06.2020) führte die mitbeteiligte Partei soweit verfahrensrelevant aus, dass die Stellungnahme der Beschwerdeführerin in mehrfacher Sicht unrichtig sei, da ein mangelnder Personenbezug der verarbeiteten Daten nicht vorliege.
2. Nach Aufforderung der Datenschutzbehörde teilte die Beschwerdeführerin mit Stellungnahme vom 19.10.2020 im Wesentlichen mit, dass teilweise UUID (Universally Unique Identifier) eingesetzt worden seien, aber dennoch keine Verarbeitung von personenbezogenen Daten stattgefunden habe. Dabei handle es sich um Zufallskennungen, welche – für die Beschwerdeführerin und

den Informationen durch die Dienstleister (auch) durch diese – nicht mit personenbezogenen Daten zusammengeführt werden könnten, sodass – trotz UUIDs – kein Personenbezug vorliege. Es sei von anonymen Daten auszugehen.

1. Mit Stellungnahme vom 24.11.2020 (eingelangt am 25.11.2020) verwies die mitbeteiligte Partei auf ein weiteres Verfahren vor der Datenschutzbehörde und führte aus, dass die dort gemachten Ausführungen der Beschwerdeführerin hinsichtlich der Verarbeitung von personenbezogenen Daten und den eingesetzten Cookies (mit UUIDs) widersprüchlich seien. Bei jedem eingesetzten Dienst der Beschwerdeführerin finde eine Verarbeitung von personenbezogenen Daten statt.
2. Mit Schreiben vom 14.03.2022 brachte die mitbeteiligte Partei soweit verfahrensrelevant vor, dass sie erst nach dem Besuch der Website der Beschwerdeführerin auf die Verarbeitung ihrer personenbezogenen Daten in der Form des Retargeting, also durch die Anzeige von Werbung der Beschwerdeführerin auf anderen Websites, aufmerksam geworden sei. Die mitbeteiligte Partei habe somit keine Möglichkeit gehabt, die konkret verwendete dynamische IP-Adresse beim Besuch der Website der Beschwerdeführerin für ein Verfahren vor der Datenschutzbehörde für Beweiszwecke zu sichern. Es sei jedoch allgemein bekannt, dass es den von der Beschwerdeführerin eingesetzten Auftragsverarbeitern problemlos möglich sei, sie quer durch das Internet zu identifizieren und Werbung der Beschwerdeführerin anzuzeigen. Zum Zeitpunkt des Besuchs der Website der Beschwerdeführerin sei die mitbeteiligte Partei nicht mit einem Google-Konto eingeloggt gewesen.
3. Mit Bescheid vom 17.06.2022, GZ. D.124.1681 2022-0.196.923, gab die Datenschutzbehörde der Datenschutzbeschwerde vom 31.10.2019 teilwiese statt und stellte fest, dass die Beschwerdeführerin als Verantwortliche durch ihre Entscheidung, diverse Dienste (dies sind zumindest Google Analytics und Criteo) auf ihrer Website unter XXXX zu implementieren, zumindest am 07.08.2019 personenbezogene Daten der mitbeteiligten Partei (dies sind zumindest in Kombination deren Online-Kennung in Form der IP-Adresse und einzigartiger Nutzer-Identifikations-Nummern sowie die Information, welche Produkte die mitbeteiligte Partei auf der Website unter XXXX am 07.08.2019 angesehen habe), entgegen den Vorgaben von Art. 5 Abs. 1 lit. a (Grundsatz der Rechtmäßigkeit) und Art. 6 Abs. 1 DSGVO unrechtmäßig verarbeitet habe, indem sie die genannten personenbezogenen Daten der mitbeteiligten Partei ihren Werbepartnern zum Zwecke des Ausspielens von personalisierter Werbung ohne Rechtsgrundlage zur Verfügung gestellt habe (Spruchpunkt 1.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 2.).
4. Mit Bescheid vom 17.06.2022, GZ. D.124.1681 2022-0.196.923, gab die Datenschutzbehörde der Datenschutzbeschwerde vom 31.10.2019 teilwiese statt und stellte fest, dass die Beschwerdeführerin als Verantwortliche durch ihre Entscheidung, diverse Dienste (dies sind zumindest Google Analytics und Criteo) auf ihrer Website unter römisch 40 zu implementieren, zumindest am 07.08.2019 personenbezogene Daten der mitbeteiligten Partei (dies sind zumindest in Kombination deren Online-Kennung in Form der IP-Adresse und einzigartiger Nutzer-Identifikations-Nummern sowie die Information, welche Produkte die mitbeteiligte Partei auf der Website unter römisch 40 am 07.08.2019 angesehen habe), entgegen den Vorgaben von Artikel 5, Absatz eins, Litera a, (Grundsatz der Rechtmäßigkeit) und Artikel 6, Absatz eins, DSGVO unrechtmäßig verarbeitet habe, indem sie die genannten personenbezogenen Daten der mitbeteiligten Partei ihren Werbepartnern zum Zwecke des Ausspielens von personalisierter Werbung ohne Rechtsgrundlage zur Verfügung gestellt habe (Spruchpunkt 1.). Im Übrigen wurde die Beschwerde abgewiesen (Spruchpunkt 2.). In diesem Bescheid traf die Datenschutzbehörde hinsichtlich Spruchpunkt
5. im Wesentlichen folgende Sachverhaltsfeststellungen: Websites würden Cookies nutzen, um Nutzer zu identifizieren und sich die Vorlieben ihrer Kunden zu merken. Cookies seien auch dazu nutzbar, um anhand des Online-Verhaltens Informationen für gezielte Werbung und Vermarktung zu sammeln und auszuspielen. Die Beschwerdeführerin sei jedenfalls am 07.08.2019 die Website-Betreiberin von XXXX gewesen und treffe die Entscheidung darüber, welche Cookies unter welchen Voraussetzungen beim Aufruf der Website XXXX gesetzt oder ausgelesen werden würden. Bei der betriebenen Website handle es sich um einen Versandhandel für Bekleidung. Darüber hinaus treffe die Beschwerdeführerin die Entscheidung darüber, welche JavaScript-Codes beim Aufruf der Website XXXX ein Setzen oder Auslesen von Cookies im Browser von Website-Besuchern auslöse. Die Beschwerdeführerin sei jedenfalls am 07.08.2019 die Website-Betreiberin von römisch 40 gewesen und treffe die Entscheidung darüber, welche Cookies unter welchen Voraussetzungen beim Aufruf der Website römisch 40 gesetzt oder ausgelesen werden würden. Bei der betriebenen Website handle es sich um einen Versandhandel für Bekleidung. Darüber hinaus treffe die Beschwerdeführerin die Entscheidung darüber, welche JavaScript-Codes beim Aufruf der Website römisch 40 ein Setzen oder Auslesen von Cookies im Browser von Website-Besuchern auslöse. Die mitbeteiligte Partei habe zumindest am 07.08.2019 die Website der Beschwerdeführerin besucht. Bei diesem Besuch sei ein Cookie-Banner aufgetaucht, mit dem die Zustimmung zur Verwendung von Cookies der mitbeteiligten Partei eingeholt werden sollte. Die mitbeteiligte Partei habe mit dem dargestellten Cookie-Banner nicht interagiert und keine Einwilligung abgegeben. Bei diesem Besuch seien zumindest folgende Dienste (d.h. Cookies oder JavaScript-Codes) seitens der Beschwerdeführerin verwendet worden: Criteo, DoubleClick, Econda, Facebook Pixel, Google Analytics, Krxd. Net, Userlike. Zumindest die Dienste Google Analytics und Criteo würden Cookies mit einer einzigartigen Nutzer-Identifikations-Nummer verwenden, wodurch ein Endgerät markiert werde. Die mitbeteiligte Partei habe sich während des Besuchs der Website Produkte der Beschwerdeführerin angesehen. Dabei seien zumindest die von der mitbeteiligten Partei aufgerufenen Produktunterseiten mithilfe von Cookies aufgezeichnet worden. Als die mitbeteiligte Partei nach dem Besuch unter XXXX die Websites www.focus.de, www.wetteronline.at, sowie http://privacy.eu.criteo.com/ besucht habe, seien der mitbeteiligten Partei zumindest auf den genannten Websites die Werbung der Beschwerdeführerin angezeigt worden.Die mitbeteiligte Partei habe sich während des Besuchs der Website Produkte der Beschwerdeführerin angesehen. Dabei seien zumindest die von der mitbeteiligten Partei aufgerufenen Produktunterseiten mithilfe von Cookies aufgezeichnet worden. Als die mitbeteiligte Partei nach dem Besuch unter römisch 40 die Websites www.focus.de, www.wetteronline.at, sowie http://privacy.eu.criteo.com/ besucht habe, seien der mitbeteiligten Partei zumindest auf den genannten Websites die Werbung der Beschwerdeführerin angezeigt worden. Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die Datenschutzbehörde in rechtlicher Hinsicht betreffend Spruchpunkt
6. im Wesentlichen: Die Datenschutzbehörde sei zur Behandlung der Beschwerde zuständig, da kein Verstoß gegen das TKG 2021 moniert werde, sondern hinsichtlich jener Datenverarbeitung, welche nach dem Zugriff iSd § 165 Abs. 3 TKG 2021 (also dem Setzen und Auslesen von Cookies) erfolge. Im Hinblick auf die Online-Kennungen sei festzuhalten, dass die gegenständlichen Cookies (zum Beispiel die Cookies “_ga” [Client ID] und “_gid” [User ID]) einzigartige Nutzer-Identifikations-Nummern enthalten würden und auf dem Endgerät bzw. im Browser der mitbeteiligten Partei abgelegt worden seien. Dies führe dazu, dass die hier gegenständlichen Nutzer-Identifikations-Nummern schon grundsätzlich als personenbezogene Daten (in Form einer Online-Kennung)

Art. 4Z 1 DSGVO zu qualifizieren seien.

Da ein bloßes „Weitersurfen“ jedenfalls keine „eindeutige bestätigende und unmissverständliche Handlung“ darstelle, mangle es an einer Einwilligung im Sinne des Art. 6 Abs. 1 lit. a DSGVO. Ebenso wenig komme Art. 6 Abs. 1 lit. f DSGVO als Erlaubnistatbestand in Betracht. Die durchgeführte Verarbeitung der personenbezogenen Daten der mitbeteiligten Partei sei somit rechtswidrig.Die Datenschutzbehörde sei zur Behandlung der Beschwerde zuständig, da kein Verstoß gegen das TKG 2021 moniert werde, sondern hinsichtlich jener Datenverarbeitung, welche nach dem Zugriff iSd Paragraph 165, Absatz 3, TKG 2021 (also dem Setzen und Auslesen von Cookies) erfolge. Im Hinblick auf die Online-Kennungen sei festzuhalten, dass die gegenständlichen Cookies (zum Beispiel die Cookies “_ga” [Client ID] und “_gid” [User ID]) einzigartige Nutzer-Identifikations-Nummern enthalten würden und auf dem Endgerät bzw. im Browser der mitbeteiligten Partei abgelegt worden seien. Dies führe dazu, dass die hier gegenständlichen Nutzer-Identifikations-Nummern schon grundsätzlich als personenbezogene Daten (in Form einer Online-Kennung)

Artikel 4, Ziffer eins, DSGVO zu qualifizieren seien.

Da ein bloßes „Weitersurfen“ jedenfalls keine „eindeutige bestätigende und unmissverständliche Handlung“ darstelle, mangle es an einer Einwilligung im Sinne des Artikel 6, Absatz eins, Litera a, DSGVO. Ebenso wenig komme Artikel 6, Absatz eins, Litera f, DSGVO als Erlaubnistatbestand in Betracht. Die durchgeführte Verarbeitung der personenbezogenen Daten der mitbeteiligten Partei sei somit rechtswidrig.

1. In der gegen Spruchpunkt
2. des Bescheides fristgerecht erhobenen Beschwerde brachte die Beschwerdeführerin im Wesentlichen vor: Es liege eine Verletzung des Bestimmtheitsgrundsatzes vor, da die Datenschutzbehörde einerseits festgestellt habe (BS 41f), dass die mitbeteiligte Partei im Datenbestand der Beschwerdeführerin nicht identifizierbar sei, aber andererseits annehme, dass eine Identifizierbarkeit gegeben sei, also personenbezogene Daten der mitbeteiligten Partei verarbeitet worden seien. Zudem sei die Datenschutzbehörde aufgrund der Anwendbarkeit des TKG 2021 unzuständig und liege nach wie vor kein Personenbezug der verarbeiteten Daten vor. Abschließend gehe es der mitbeteiligten Partei primär darum, Ersatzansprüche zu lukrieren. Sie vermeide mit der Einbringung der verfahrensgegenständlichen Datenschutzbeschwerde nur das Kostenrisiko vor einem Zivilgericht und führe regelmäßig Massenabmahnungen durch, um Einnahmen zu generieren.
3. Mit Schreiben der Datenschutzbehörde vom 21.07.2022 (hg eingelangt am 29.07.2022) wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin wurde auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt. Ergänzend wurde soweit verfahrensrelevant ausgeführt, dass die Datenschutzbehörde nur aufgrund der in Art. 57 Abs. 4 DSGVO genannten Tatbeständen die Beschwerdebehandlung ablehnen könne. Gegenständlich liege jedoch keine „offenkundig unbegründete“ Beschwerde oder ein eindeutiger Rechtsmissbrauch vor.
4. Mit Schreiben der Datenschutzbehörde vom 21.07.2022 (hg eingelangt am 29.07.2022) wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin wurde auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt. Ergänzend wurde soweit verfahrensrelevant ausgeführt, dass die Datenschutzbehörde nur aufgrund der in Artikel 57, Absatz 4, DSGVO genannten Tatbeständen die Beschwerdebehandlung ablehnen könne. Gegenständlich liege jedoch keine „offenkundig unbegründete“ Beschwerde oder ein eindeutiger Rechtsmissbrauch vor.
5. Mit Stellungnahme vom 01.09.2022 wiederholte die Beschwerdeführerin ihr bereits in der Bescheidbeschwerde erstattetes Vorbringen und führte ergänzend aus, dass die Datenschutzbehörde sich mit der rechtsmissbräuchlichen Geltendmachung von Datenschutzverletzungen nicht weiter auseinandergesetzt habe, obwohl dieser bekannt sei, dass die mitbeteiligte Partei „Massenabmahnungen“ durchführe und das ausschließlich mit dem Ziel, sich durch die unklare Rechtslage zu bereichern. Zudem werde angeregt das gegenständliches Beschwerdeverfahren bis zur Entscheidung des Europäischen Gerichtshofs C-307/22 - FT gegen DW zu unterbrechen.
6. Mit Stellungnahme vom 31.10.2022 erwiderte die mitbeteiligte Partei, dass die Datenschutzbehörde für die Behandlung der geltend gemachten Datenschutzverletzung zuständig sei und das Beschwerdeverfahren nicht auszusetzen sei, da der durch den EuGH in der Rechtssache C-307/22 zu beurteilende Sachverhalt nicht mit dem verfahrensgegenständlichen Fall vergleichbar sei. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
7. Feststellungen: 1.
8. Mittels Cookies lassen sich Informationen sammeln, die von einer Website generiert und über den Browser eines Internetnutzers gespeichert werden. Es handelt sich um eine kleine Datei oder Textinformation (in der Regel kleiner als ein Kilobyte), die von einer Website über den Browser eines Internetnutzers auf der Festplatte des Computers oder mobilen Endgeräts platziert wird. Ein Cookie erlaubt es der Website, sich an die Aktionen oder Vorlieben des Nutzers zu „erinnern“. Die meisten Webbrowser unterstützen Cookies, aber die Nutzer können ihre Browser so einstellen, dass sie Cookies abweisen. Sie können Cookies auch jederzeit löschen. Websites nutzen Cookies, um Nutzer zu identifizieren, sich die Vorlieben ihrer Kunden zu merken und es den Nutzern zu ermöglichen, Aufgaben abzuschließen, ohne Informationen neu eingeben zu müssen, wenn sie zu einer anderen Seite wechseln oder die Website später erneut besuchen. 1.
9. Die Beschwerdeführerin betrieb am 07.08.2019 die Website XXXX . Sie trifft die Entscheidung, unter welchen Voraussetzungen (Java Script) welche Cookies beim Aufruf der genannten Website gesetzt oder ausgelesen werden.1.
10. Die Beschwerdeführerin betrieb am 07.08.2019 die Website römisch 40 . Sie trifft die Entscheidung, unter welchen Voraussetzungen (Java Script) welche Cookies beim Aufruf der genannten Website gesetzt oder ausgelesen werden. 1.
11. Die mitbeteiligte Partei besuchte zumindest am 07.08.2019 die Website der Beschwerdeführerin mittels eines Computers. Beim Aufruf der Website erschien im oberen Bereich des Browsers ein Banner, welches darauf hinwies, dass das Weitersurfen auf der Website als Zustimmung zur Cookie-Nutzung gewertet wird. Die mitbeteiligte Partei hat mit dem genannten Cookie-Banner nicht interagiert und keine aktiven Handlungen zur Einwilligung in die Cookie-Nutzung gesetzt. 1.
12. Als Folge des Besuchs der Website XXXX wurden am 07.08.2019 die von der Datenschutzbehörde festgestellten Cookies am Endgerät der mitbeteiligten Partei gesetzt und ausgelesen. Dabei handelte es sich um die Dienste (Cookies oder Java-Script) von Criteo, DoubleClick, Econda, Facebook Pixel, Google Analytics, Krxd. Net und Userlike. 1.
13. Als Folge des Besuchs der Website römisch 40 wurden am 07.08.2019 die von der Datenschutzbehörde festgestellten Cookies am Endgerät der mitbeteiligten Partei gesetzt und ausgelesen. Dabei handelte es sich um die Dienste (Cookies oder Java-Script) von Criteo, DoubleClick, Econda, Facebook Pixel, Google Analytics, Krxd. Net und Userlike. Zumindest die Dienste Google Analytics (z.B. _ga / _gid) und Criteo (z.B. uid) beinhalten einen einzigartigen, zufallsgenerierten Wert (random number). 1.
14. Bei „Google Analytics“ handelt es sich um einen Messdienst, der es ermöglicht, Trafficeigenschaften zu messen. Die Cookies „_ga“ und „_gid“ dienen der Unterscheidung von Usern über definierte Zeiträume. 1.
15. Bei „Criteo“ handelt es sich um eine digitale Werbeplattform. Das Cookie „uid“ speichert die Anzahl der Besuche, die durchschnittliche Verweildauer auf der Website und welche Seiten geladen wurden, mit dem Ziel der Darstellung zielgerichteter Anzeigen (Werbung). 1.
16. Während des Websitebesuchs unter XXXX betrachtete die mitbeteiligte Partei Produkte (u.a. Badeanzüge). Dabei wurden zumindest die von der Beschwerdeführerin aufgerufenen Produktunterseiten mithilfe von Cookies aufgezeichnet.1.
17. Während des Websitebesuchs unter römisch 40 betrachtete die mitbeteiligte Partei Produkte (u.a. Badeanzüge). Dabei wurden zumindest die von der Beschwerdeführerin aufgerufenen Produktunterseiten mithilfe von Cookies aufgezeichnet. Als die mitbeteiligte Partei die Website der Beschwerdeführerin verließ und die Websites www.focus.de, www.wetteronline.at, sowie http://privacy.eu.criteo.com/ besuchte, wurden ihr zumindest auf den genannten Websites die Werbung der Beschwerdeführerin (u.a. Badeanzüge und Kleider) angezeigt. 1.
18. Die mitbeteiligte Partei machte der Beschwerdeführerin mit Schreiben vom 06.07.2022 – nach Erlassung des hinsichtlich Spruchpunkt
19. bekämpften Bescheids – ein monetäres Vergleichsangebot, widrigenfalls die mitbeteiligte Partei den aus der festgestellten Datenschutzverletzung resultierenden Schadenersatzanspruch zivilgerichtlich geltend machen würde.
20. Beweiswürdigung: Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde sowie dem Gerichtsakt. Die relevanten Ermittlungsergebnisse und Urkunden liegen in den genannten Akten ein. Die Ausführungen betreffend den allgemeinen Einsatz und die generelle Funktionsweise von Cookies stammen aus den Schlussanträgen des Generalanwalts in der Rechtssache C-673/17 (Planet49), Rz 36 ff. Die Feststellungen unter 1.
21. und 1.
22. ergeben sich aus dem Verwaltungsakt und dem eigenen Vorbringen der Verfahrensparteien im Laufe des Verfahrens. Diese wurde nicht bestritten. Die Feststellungen unter 1.
23. ergeben sich aus den Vorbringen der Verfahrensparteien sowie den durch die mitbeteiligte Partei vorgelegten Screenshots, welche die auf ihrem Computer abgelegten Cookies, zeigen. Der erkennende Senat übersieht dabei nicht, dass die Spalte mit den einzigartigen und zufallsgenerierten Werten teilweise abgeschnitten ist, jedoch ist zweifelsfrei erkennbar, dass diese Werte jedenfalls gesetzt bzw. vergeben wurden. Auch, dass die mitbeteiligte Partei ihre (zu diesem Zeitpunkt aufgrund der Verwendung eines Computers jedenfalls zugeordnete) dynamische IP-Adresse nicht vorzulegen vermag, ändert an der amtswegig bekannten Funktionsweise der einschlägigen Cookies nichts (vgl. Google Analytics BVwG 30.06, W137 2264614-1). Zudem wurde die durch die mitbeteiligte Partei vorgelegte Dokumentation der gesetzten Cookies nicht bestritten. Ebenso unstrittig ist, dass die Dienste von Google Analytics UUIDs einsetzen (vgl. die Stellungnahme der Beschwerdeführerin vom 19.10.2020 und der mitbeteiligten Partei vom 24.11.2020). Soweit die Beschwerdeführerin dies hinsichtlich das Diensts „Criteo“ bestritt, ist auf den aufgedeckten Widerspruch durch die mitbeteiligte Partei zu den Stellungnahmen der Beschwerdeführerin in anderen Datenschutzverfahren hinzuweisen und ergibt sich dies im Übrigen aus einer amtswegigen Recherche des erkennenden Senats.Die Feststellungen unter 1.
24. ergeben sich aus den Vorbringen der Verfahrensparteien sowie den durch die mitbeteiligte Partei vorgelegten Screenshots, welche die auf ihrem Computer abgelegten Cookies, zeigen. Der erkennende Senat übersieht dabei nicht, dass die Spalte mit den einzigartigen und zufallsgenerierten Werten teilweise abgeschnitten ist, jedoch ist zweifelsfrei erkennbar, dass diese Werte jedenfalls gesetzt bzw. vergeben wurden. Auch, dass die mitbeteiligte Partei ihre (zu diesem Zeitpunkt aufgrund der Verwendung eines Computers jedenfalls zugeordnete) dynamische IP-Adresse nicht vorzulegen vermag, ändert an der amtswegig bekannten Funktionsweise der einschlägigen Cookies nichts vergleiche Google Analytics BVwG 30.06, W137 2264614-1). Zudem wurde die durch die mitbeteiligte Partei vorgelegte Dokumentation der gesetzten Cookies nicht bestritten. Ebenso unstrittig ist, dass die Dienste von Google Analytics UUIDs einsetzen vergleiche die Stellungnahme der Beschwerdeführerin vom 19.10.2020 und der mitbeteiligten Partei vom 24.11.2020). Soweit die Beschwerdeführerin dies hinsichtlich das Diensts „Criteo“ bestritt, ist auf den aufgedeckten Widerspruch durch die mitbeteiligte Partei zu den Stellungnahmen der Beschwerdeführerin in anderen Datenschutzverfahren hinzuweisen und ergibt sich dies im Übrigen aus einer amtswegigen Recherche des erkennenden Senats. Die unter 1.
25. und 1.
26. getroffenen Feststellungen beruhen auf dem Verwaltungsakt und einer amtswegigen Recherche durch den erkennenden Senat unter https://developers.google.com/analytics/devguides/collection/ga4/tag-options?hl=de sowie https://ailab.criteo.com/cookie-declaration/ (beide zuletzt abgefragt am 08.04.2025). Die Feststellung 1.
27. ergibt sich aus dem Vorbringen der mitbeteiligten Partei in ihrer Datenschutzbeschwerde vom 31.10.2019, insbesondere den diesbezüglich vorgelegten Screenshots. Die Feststellung zum Zeitpunkt der Erlassung des teilweise angefochten Bescheids, dem Vergleichsangebot und der Androhung der zivilgerichtlichen Geltendmachung eines Schadenersatzanspruchs ergeben sich aus dem Schreiben der mitbeteiligten Partei vom 06.07.2022 an die Beschwerdeführerin und der Beschwerde der Beschwerdeführerin.
28. Rechtliche Beurteilung:

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gegenständlich liegt

§ 27

DSG Senatszuständigkeit vor.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gegenständlich liegt

Paragraph 27, DSG Senatszuständigkeit vor. 3.1.

§ 17Vw

GVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Art. 130Abs.

1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.3.1.

Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden

Artikel 130

, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch vier. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte. 3.2.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 1 Vw

GVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.3.2.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Paragraph 28, Absatz eins, VwGVG hat Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhaltes durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. Zu A) 3.

1. Die maßgebenden Bestimmungen der DSGVO: Artikel 4 DSGVO – Begriffsbestimmungen: Im Sinne dieser Verordnung bezeichnet der Ausdruck:
2. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
3. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; (…)
4. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; (…) Artikel 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten:

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

Art. 4Z 2 DSGVO verarbeitet.

Darüber hinaus ist es der Beschwerdeführerin möglich, bei jedem erneuten Website Aufruf die mitbeteiligte Partei wiederzuerkennen oder auf fremden Websites zielgerichtet Werbung zu schalten und somit einen Personenbezug herzustellen. Wie die Datenschutzbehörde somit im Ergebnis zutreffend ausführte, erfüllen Cookies, die einen einzigartigen, zufallsgenerierten Wert (random number) beinhalten und die mit dem Zweck gesetzt werden, Personen zu individualisieren und auszusondern, die Definition des Art. 4 Z 1 DSGVO (vgl. dazu auch BVwG 25.11.2024, W252 2282050-1; 13.09.2024, W298 2274626-1).Die Beschwerdeführerin hat jedenfalls am 07.08.2019 die einzigartigen und zufallsgenerierten Werte der mitbeteiligten Partei gemeinsam mit deren IP-Adresse (diese wird beim Abruf einer Website jedenfalls übermittelt; vergleiche EuGH 19.10.2016, C-582/14, Bundesrepublik Deutschland, Rz 15) und damit personenbezogene Daten der mitbeteiligten Partei

Artikel 4, Ziffer 2, DSGVO verarbeitet.

Darüber hinaus ist es der Beschwerdeführerin möglich, bei jedem erneuten Website Aufruf die mitbeteiligte Partei wiederzuerkennen oder auf fremden Websites zielgerichtet Werbung zu schalten und somit einen Personenbezug herzustellen. Wie die Datenschutzbehörde somit im Ergebnis zutreffend ausführte, erfüllen Cookies, die einen einzigartigen, zufallsgenerierten Wert (random number) beinhalten und die mit dem Zweck gesetzt werden, Personen zu individualisieren und auszusondern, die Definition des Artikel 4, Ziffer eins, DSGVO vergleiche dazu auch BVwG 25.11.2024, W252 2282050-1; 13.09.2024, W298 2274626-1). Unstrittig ist auch, dass die Beschwerdeführerin als Websitebetreiberin für die vorliegende Datenverarbeitung Verantwortliche iSd Art. 4 Z 7 DSGVO ist.Unstrittig ist auch, dass die Beschwerdeführerin als Websitebetreiberin für die vorliegende Datenverarbeitung Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO ist. 3.5.

1. Zur Zuständigkeit der Datenschutzbehörde: Verarbeitungsvorgänge eines Sachverhalts können sowohl den Bestimmungen der Richtlinie 2002/58/EG idgF (e-Datenschutz-RL) bzw. dem TKG 2021 (Umsetzung der e-Datenschutz-RL) als auch der DSGVO unterliegen. Art. 95 stellt klar, dass durch die DSGVO grundsätzlich natürlichen oder juristischen Personen keine zusätzlichen Pflichten auferlegt werden sollen, die den gleichen Zweck verfolgen, wie diejenigen spezifischen Pflichten, denen sie bereits aufgrund der e-Privacy-RL für den gleichen Zweck unterliegen. Nichtsdestoweniger müssen allerdings die grundsätzlichen Regelungen der DSGVO auch für die Verarbeitung von personenbezogenen Daten im Regelungsbereich der e-Privacy-RL angewandt werden (vgl. Klabunde/Selmayr in Ehmann/Selmayr, DS-GVO,
2. Auflage, 2018, Art. 95, RZ 3).Artikel 95, stellt klar, dass durch die DSGVO grundsätzlich natürlichen oder juristischen Personen keine zusätzlichen Pflichten auferlegt werden sollen, die den gleichen Zweck verfolgen, wie diejenigen spezifischen Pflichten, denen sie bereits aufgrund der e-Privacy-RL für den gleichen Zweck unterliegen. Nichtsdestoweniger müssen allerdings die grundsätzlichen Regelungen der DSGVO auch für die Verarbeitung von personenbezogenen Daten im Regelungsbereich der e-Privacy-RL angewandt werden vergleiche Klabunde/Selmayr in Ehmann/Selmayr, DS-GVO,
3. Auflage, 2018, Artikel 95,, RZ 3). Es ist der Datenschutzbehörde zuzustimmen, dass sich die Zulässigkeit des Setzens und Auslesens von Cookies nach den Bestimmungen des TKG 2021 bzw. der e-Privacy-Richtline, und nicht nach Art. 6 DSGVO, richtet. Dies bedeutet jedoch nicht, dass der mitbeteiligten Partei keine Datenschutzbeschwerde

Art. 77Abs.

1 DSGVO (Recht auf Beschwerde bei einer Aufsichtsbehörde) zusteht. Durch einen Verstoß gegen das TKG 2021 kann gleichzeitig eine Verletzung der Rechte der DSGVO vorliegen, die dem Verantwortlichen keine zusätzlichen Pflichten iSv Art. 95 DSGVO auferlegen (vgl. dazu auch BVwG, W252 2239457-1, 03.10.2022).

Art. 77

DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. Die mitbeteiligte Partei brachte am 31.10.2019 eine Beschwerde bei der Datenschutzbehörde ein, da sie der Ansicht war, dass das Vorgehen der Beschwerdeführerin bezüglich der Verarbeitung ihrer personenbezogenen Daten – der Auswertung ihrer Interessen bzw. dem Retargeting – gegen den Datenschutz verstößt. Zur Behandlung dieser Datenschutzbeschwerde war die Datenschutzbehörde demnach zuständig und auch verpflichtet, da das Setzen oder Auslesen von Cookies nach den Vorgaben von Art. 5 Abs. 3 der e-Datenschutz-RL zu beurteilen ist, jedoch die darauffolgende Datenverarbeitung in den Anwendungsbereich der DSGVO fällt.Es ist der Datenschutzbehörde zuzustimmen, dass sich die Zulässigkeit des Setzens und Auslesens von Cookies nach den Bestimmungen des TKG 2021 bzw. der e-Privacy-Richtline, und nicht nach Artikel 6, DSGVO, richtet. Dies bedeutet jedoch nicht, dass der mitbeteiligten Partei keine Datenschutzbeschwerde

Artikel 77, Absatz eins, DSGVO (Recht auf Beschwerde bei einer Aufsichtsbehörde) zusteht.

Durch einen Verstoß gegen das TKG 2021 kann gleichzeitig eine Verletzung der Rechte der DSGVO vorliegen, die dem Verantwortlichen keine zusätzlichen Pflichten iSv Artikel 95, DSGVO auferlegen vergleiche dazu auch BVwG, W252 2239457-1, 03.10.2022).

Artikel 77

, DSGVO hat jede betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen diese Verordnung verstößt. Die mitbeteiligte Partei brachte am 31.10.2019 eine Beschwerde bei der Datenschutzbehörde ein, da sie der Ansicht war, dass das Vorgehen der Beschwerdeführerin bezüglich der Verarbeitung ihrer personenbezogenen Daten – der Auswertung ihrer Interessen bzw. dem Retargeting – gegen den Datenschutz verstößt. Zur Behandlung dieser Datenschutzbeschwerde war die Datenschutzbehörde demnach zuständig und auch verpflichtet, da das Setzen oder Auslesen von Cookies nach den Vorgaben von Artikel 5, Absatz 3, der e-Datenschutz-RL zu beurteilen ist, jedoch die darauffolgende Datenverarbeitung in den Anwendungsbereich der DSGVO fällt. Somit fällt (wie hier) insbesondere die Weiterverarbeitung von in Cookies gespeicherten bzw. dabei weitergegebenen Daten in den Anwendungsbereich der DSGVO. 3.5.3. Zum behaupteten rechtsmissbräuchlichen Motiv bei Erhebung der Datenschutzbeschwerde: Das Recht auf Beschwerde kann von jeder betroffenen Person ausgeübt werden, die der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt (vgl. Schweiger in Knyrim, DatKomm Art. 77 DSGVO Rz 18 (Stand 1.12.2021, rdb.at)). Insbesondere ist ein bestimmtes inneres Motiv bzw. eine innere Überzeugung weder eine Voraussetzung noch ein Hindernis bei der Erhebung einer Datenschutzbeschwerde

Art. 77

DSGVO.Das Recht auf Beschwerde kann von jeder betroffenen Person ausgeübt werden, die der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt vergleiche Schweiger in Knyrim, DatKomm Artikel 77, DSGVO Rz 18 (Stand 1.12.2021, rdb.at)). Insbesondere ist ein bestimmtes inneres Motiv bzw. eine innere Überzeugung weder eine Voraussetzung noch ein Hindernis bei der Erhebung einer Datenschutzbeschwerde

Artikel 77, DSGVO.

Soweit dieses Vorbringen der Beschwerdeführerin in einem engen Zusammenhang mit der Möglichkeit der Datenschutzbehörde steht, die Behandlung von exzessiven Anfragen abzulehnen, so ist folgendes anzumerken:

Art. 57Abs.

4 DSGVO kann die Aufsichtsbehörde bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anfragen eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangen oder sich weigern, aufgrund der Anfrage tätig zu werden.

Artikel 57

, Absatz 4, DSGVO kann die Aufsichtsbehörde bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anfragen eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangen oder sich weigern, aufgrund der Anfrage tätig zu werden. Der EuGH hat diesbezüglich mit Urteil vom 09.01.2025 in der Rechtssache C-416/23 festgehalten, dass der Begriff „Anfrage“ die Beschwerden nach Art. 57 Abs. 1 Buchst. f und Art. 77 Abs. 1 DSGVO umfasst. Darüber hinaus kann das Vorliegen einer Missbrauchsabsicht festgestellt werden, wenn eine Person Beschwerden einreicht, ohne dass dies objektiv erforderlich ist, um ihre Rechte aus der Verordnung zu schützen.Der EuGH hat diesbezüglich mit Urteil vom 09.01.2025 in der Rechtssache C-416/23 festgehalten, dass der Begriff „Anfrage“ die Beschwerden nach Artikel 57, Absatz eins, Buchst. f und Artikel 77, Absatz eins, DSGVO umfasst. Darüber hinaus kann das Vorliegen einer Missbrauchsabsicht festgestellt werden, wenn eine Person Beschwerden einreicht, ohne dass dies objektiv erforderlich ist, um ihre Rechte aus der Verordnung zu schützen. Ein Rechtsmissbrauch liegt dann vor, wenn das unlautere Motiv der Rechtsausübung das lautere Motiv eindeutig überwiegt. Der Schädigungszweck muss so augenscheinlich im Vordergrund stehen, dass andere Ziele der Rechtsausübung völlig in den Hintergrund treten (vgl. OGH 28.04.1998, 1 Ob 384/97w).Ein Rechtsmissbrauch liegt dann vor, wenn das unlautere Motiv der Rechtsausübung das lautere Motiv eindeutig überwiegt. Der Schädigungszweck muss so augenscheinlich im Vordergrund stehen, dass andere Ziele der Rechtsausübung völlig in den Hintergrund treten vergleiche OGH 28.04.1998, 1 Ob 384/97w). So wurde die Behandlung einer Beschwerde mangels Rechtsschutzinteresse abgelehnt, da der Beschwerdeführer dem Verantwortlichen nachweislich angeboten hat, gegen Zahlung eines höheren Betrags von der Beschwerdeerhebung bei der Datenschutzbehörde abzusehen. Dieser Judikaturlinie ist zu folgen, da eine derartige Instrumentalisierung des Beschwerderechts

Art. 77Abs. 1 DSGVO („Zahlen für Beschwerdeverzicht“) nicht i

Sd Verordnungsgebers sein kann (vgl. Zavadil in Knyrim, DatKomm Art. 57 DSGVO Rz 28 (Stand 1.7.2024, rdb.at)).So wurde die Behandlung einer Beschwerde mangels Rechtsschutzinteresse abgelehnt, da der Beschwerdeführer dem Verantwortlichen nachweislich angeboten hat, gegen Zahlung eines höheren Betrags von der Beschwerdeerhebung bei der Datenschutzbehörde abzusehen. Dieser Judikaturlinie ist zu folgen, da eine derartige Instrumentalisierung des Beschwerderechts

Artikel 77, Absatz eins, DSGVO („Zahlen für Beschwerdeverzicht“) nicht i

Sd Verordnungsgebers sein kann vergleiche Zavadil in Knyrim, DatKomm Artikel 57, DSGVO Rz 28 (Stand 1.7.2024, rdb.at)). Auch in dieser Hinsicht ist für den erkennenden Senat die Behauptung der Beschwerdeführerin nicht nachvollziehbar, da ein unlauteres und rechtsmissbräuchliches Motiv keinesfalls so augenscheinlich im Vordergrund steht, dass andere Ziele der Rechtsausübung völlig in den Hintergrund treten. Vielmehr ergab das gegenständliche Beschwerdeverfahren, dass ein tatsächlicher Schutzbedarf durch Ausübung des Beschwerderechts

Art. 77DSGVO bestand.

Zudem kann der nachträglichen Geltendmachung eines Schadenersatzanspruchs, aufgrund einer bescheidmäßig festgestellten Datenschutzverletzung, per se kein unlauteres oder rechtsmissbräuchliches Motiv entnommen werden. Auch ist dieses Vorgehen nicht mit der Offerte eines Beschwerdeverzichts hinsichtlich eines (noch) ungewissen Verfahrensausgangs vergleichbar. Soweit durch die Beschwerdeführerin unsubstantiert behauptet wurde, die mitbeteiligte Partei führe „Massenabmahnungen“ durch, ist dies für den erkennenden Senat nicht ersichtlich. Auch in dieser Hinsicht ist für den erkennenden Senat die Behauptung der Beschwerdeführerin nicht nachvollziehbar, da ein unlauteres und rechtsmissbräuchliches Motiv keinesfalls so augenscheinlich im Vordergrund steht, dass andere Ziele der Rechtsausübung völlig in den Hintergrund treten. Vielmehr ergab das gegenständliche Beschwerdeverfahren, dass ein tatsächlicher Schutzbedarf durch Ausübung des Beschwerderechts

Artikel 77, DSGVO bestand.

Zudem kann der nachträglichen Geltendmachung eines Schadenersatzanspruchs, aufgrund einer bescheidmäßig festgestellten Datenschutzverletzung, per se kein unlauteres oder rechtsmissbräuchliches Motiv entnommen werden. Auch ist dieses Vorgehen nicht mit der Offerte eines Beschwerdeverzichts hinsichtlich eines (noch) ungewissen Verfahrensausgangs vergleichbar. Soweit durch die Beschwerdeführerin unsubstantiert behauptet wurde, die mitbeteiligte Partei führe „Massenabmahnungen“ durch, ist dies für den erkennenden Senat nicht ersichtlich. 3.5.

1. Darüber hinaus ist die Behauptung der Beschwerdeführerin, dass die Datenschutzbehörde in ihrem Bescheid auf Seite 41f festgestellt habe, dass keine Identifizierbarkeit bei der verfahrensgegenständlichen Datenverarbeitung gegeben sei, für den erkennenden Senat an der vorgebrachten Stelle nicht ersichtlich. Auch die weiteren von der Beschwerdeführerin in ihrer Bescheidbeschwerde behaupteten Widersprüche des teilweise angefochtenen Bescheids und damit Verstöße gegen das rechtsstaatliche Bestimmtheitsgebot (insbesondere iSd Art. 18 B-VG bzw. Art. 7 EMRK bzw. Art. 49 GRC) erweisen sich für den erkennenden Senat als nicht nachvollziehbar.3.5.
2. Darüber hinaus ist die Behauptung der Beschwerdeführerin, dass die Datenschutzbehörde in ihrem Bescheid auf Seite 41f festgestellt habe, dass keine Identifizierbarkeit bei der verfahrensgegenständlichen Datenverarbeitung gegeben sei, für den erkennenden Senat an der vorgebrachten Stelle nicht ersichtlich. Auch die weiteren von der Beschwerdeführerin in ihrer Bescheidbeschwerde behaupteten Widersprüche des teilweise angefochtenen Bescheids und damit Verstöße gegen das rechtsstaatliche Bestimmtheitsgebot (insbesondere iSd Artikel 18, B-VG bzw. Artikel 7, EMRK bzw. Artikel 49, GRC) erweisen sich für den erkennenden Senat als nicht nachvollziehbar. 3.5.
3. Abschließend ist der Datenschutzbehörde darin zuzustimmen, dass das bloße Weitersurfen die Anforderungen an eine eindeutige, unmissverständliche, freiwillige und in informierter Weise abgegeben Einwilligung

Art. 6Abs.

1 lit. a DSGVO nicht erfüllt. Das für die Einholung einer datenschutzrechtlichen Einwilligung festgestellte Cookie-Banner der Beschwerdeführerin begründet ebenso wenig den Tatbestand des Art. 6 Abs. 1 lit. a DSGVO, da weder das Stillschweigen noch die Untätigkeit einer betroffenen Person die Voraussetzung einer eindeutig abgegebenen Einwilligung erfüllt (vgl. Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art. 6 DSGVO Rz 27 (Stand 7.5.2020, rdb.at)).3.5.5. Abschließend ist der Datenschutzbehörde darin zuzustimmen, dass das bloße Weitersurfen die Anforderungen an eine eindeutige, unmissverständliche, freiwillige und in informierter Weise abgegeben Einwilligung

Artikel 6, Absatz eins, Litera a, DSGVO nicht erfüllt.

Das für die Einholung einer datenschutzrechtlichen Einwilligung festgestellte Cookie-Banner der Beschwerdeführerin begründet ebenso wenig den Tatbestand des Artikel 6, Absatz eins, Litera a, DSGVO, da weder das Stillschweigen noch die Untätigkeit einer betroffenen Person die Voraussetzung einer eindeutig abgegebenen Einwilligung erfüllt vergleiche Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO Rz 27 (Stand 7.5.2020, rdb.at)). Auch andere Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO sind nicht ersichtlich.Auch andere Erlaubnistatbestände des Artikel 6, Absatz eins, DSGVO sind nicht ersichtlich. 3.6.

§ 24Abs. 1 Vw

GVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.3.6.

Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen. Die Beschwerdeführerin hat gegenständlich keinen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Das Bundesverwaltungsgericht hatte damit ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).Das Bundesverwaltungsgericht hatte damit ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12). Von der Durchführung einer mündlichen Verhandlung war folglich

§ 24Abs. 1 Vw

GVG abzusehen.Von der Durchführung einer mündlichen Verhandlung war folglich

Paragraph 24, Absatz eins, VwGVG abzusehen. Zu B) Unzulässigkeit der Revision: Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. European Case Law IdentifierECLI:AT:BVWG:2026:W137.2257661.1.00