RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum10.03.2026 GeschäftszahlW298 2278454-1 Spruch, W298 2278454-1/13E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

Art. 133Abs.

4 B-VG zulässig.B) Die Revision ist

Artikel 133, Absatz 4, B-VG zulässig. Text

Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

1. Mit Datenschutzbeschwerde vom 06.06.2022 wandte sich XXXX (mitbeteiligte Partei) an die Datenschutzbehörde (belangte Behörde) und führte darin aus, dass der XXXX (Beschwerdeführerin) seine personenbezogenen Daten unrechtmäßig verarbeitet habe. Konkret habe die Beschwerdeführerin im Zuge eines Rettungseinsatzes Daten der mitbeteiligten Person erhoben und diese in weiterer Folge zu Marketingzwecken (Spendenaufruf) missbraucht. Die mitbeteiligte Partei wurde auf diese Verarbeitung im Zuge der Datenerhebung weder hingewiesen, noch habe sie ihr zugestimmt. Die Beschwerdeführerin habe hier Gesundheitsdaten unrechtmäßig verarbeitet. Der gegenständliche Spendenaufruf liege als Scan der Beschwerde bei.
2. Mit Datenschutzbeschwerde vom 06.06.2022 wandte sich römisch 40 (mitbeteiligte Partei) an die Datenschutzbehörde (belangte Behörde) und führte darin aus, dass der römisch 40 (Beschwerdeführerin) seine personenbezogenen Daten unrechtmäßig verarbeitet habe. Konkret habe die Beschwerdeführerin im Zuge eines Rettungseinsatzes Daten der mitbeteiligten Person erhoben und diese in weiterer Folge zu Marketingzwecken (Spendenaufruf) missbraucht. Die mitbeteiligte Partei wurde auf diese Verarbeitung im Zuge der Datenerhebung weder hingewiesen, noch habe sie ihr zugestimmt. Die Beschwerdeführerin habe hier Gesundheitsdaten unrechtmäßig verarbeitet. Der gegenständliche Spendenaufruf liege als Scan der Beschwerde bei.
3. Mit Schriftsatz vom 24.06.2022 nahm die rechtsfreundlich vertretene Beschwerdeführerin zur Datenschutzbeschwerde Stellung, und führte im Wesentlichen aus, dass sie als Rettungsorganisation zum Zwecke der Dokumentation und Abrechnung mit den jeweiligen Versicherungsträgern Daten erhebe. Es würden dabei jedoch lediglich „normale“ Daten erhoben werden, die unter keine spezielle Kategorie fallen. Sie verarbeite diese Daten jedoch auch, um Spendenaufrufe durchzuführen. Der Rahmen des Art. 6 Abs. 4 DSGVO würde es ihr erlauben innerhalb der engen Grenzen des Art. 5 Abs. 1 lit b DSGVO (Zweckbindungsgrundsatz) die Daten, die zum Zweck „Krankentransport“ erhoben wurden, auch für den Zweck „Spendenaufruf“ zu verwenden. Die Verarbeitung sei zulässig, da ein Zusammenhang der Verarbeitungszwecke bestehe, lediglich Kontaktdaten wie Name und Adresse verarbeitet werden würden, die Speicherdauer drastisch reduziert sei und die mitbeteiligte Person im XXXX .
4. Mit Schriftsatz vom 24.06.2022 nahm die rechtsfreundlich vertretene Beschwerdeführerin zur Datenschutzbeschwerde Stellung, und führte im Wesentlichen aus, dass sie als Rettungsorganisation zum Zwecke der Dokumentation und Abrechnung mit den jeweiligen Versicherungsträgern Daten erhebe. Es würden dabei jedoch lediglich „normale“ Daten erhoben werden, die unter keine spezielle Kategorie fallen. Sie verarbeite diese Daten jedoch auch, um Spendenaufrufe durchzuführen. Der Rahmen des Artikel 6, Absatz 4, DSGVO würde es ihr erlauben innerhalb der engen Grenzen des Artikel 5, Absatz eins, Litera b, DSGVO (Zweckbindungsgrundsatz) die Daten, die zum Zweck „Krankentransport“ erhoben wurden, auch für den Zweck „Spendenaufruf“ zu verwenden. Die Verarbeitung sei zulässig, da ein Zusammenhang der Verarbeitungszwecke bestehe, lediglich Kontaktdaten wie Name und Adresse verarbeitet werden würden, die Speicherdauer drastisch reduziert sei und die mitbeteiligte Person im römisch 40 .
5. Mit verfahrensgegenständlichem Bescheid vom 05.07.2023 gab die belangte Behörde der Datenschutzbeschwerde statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei durch die Weiterverarbeitung ihrer personenbezogenen Daten besonderer Kategorie, die sie im Rahmen ihrer Betreuung anlässlich eines Rettungseinsatzes im Februar 2022 erlangt hatte, verletzt habe. Demnach habe die Beschwerdeführerin die mitbeteiligte Partei mit der Zusendung des Postbriefs mit einem Spendenaufruf in ihrem Recht auf Geheimhaltung verletzt. Begründend führte sie zusammengefasst aus, dass die ursprüngliche Datenverarbeitung zum Zwecke der Dokumentation und zur Verrechnung mit den Versicherungsträgern zulässig gewesen sei. Die gegenständliche Verarbeitung stelle allerdings eine Verarbeitung von Gesundheitsdaten iSd. Art. 4 Z 15 iVm Art. 9 DSGVO dar, weswegen die Sekundärverarbeitung zum Zwecke des Spendenaufrufs als unzulässig zu betrachten sei. Gesundheitsdaten dürfen nämlich nur in den in Art. 9 Abs. 2 DSGVO genannten Gründen verarbeitet werden, darin finde sich jedoch der Tatbestand der „berechtigten Interessen“ nicht. Begründend führte sie zusammengefasst aus, dass die ursprüngliche Datenverarbeitung zum Zwecke der Dokumentation und zur Verrechnung mit den Versicherungsträgern zulässig gewesen sei. Die gegenständliche Verarbeitung stelle allerdings eine Verarbeitung von Gesundheitsdaten iSd. Artikel 4, Ziffer 15, in Verbindung mit Artikel 9, DSGVO dar, weswegen die Sekundärverarbeitung zum Zwecke des Spendenaufrufs als unzulässig zu betrachten sei. Gesundheitsdaten dürfen nämlich nur in den in Artikel 9, Absatz 2, DSGVO genannten Gründen verarbeitet werden, darin finde sich jedoch der Tatbestand der „berechtigten Interessen“ nicht. Selbst wenn man davon ausginge, dass es sich nicht im Gesundheitsdaten im Sinne des Art. 4 Z 15 DSGVO handle, sei die Sekundärverarbeitung unzulässig. Es bestehe zwar ein enger wirtschaftlicher Zusammenhang zwischen dem ursprünglichen Erhebungszweck und dem Zweck der Weiterverarbeitung, es liege jedoch nicht innerhalb der vernünftigen Erwartungshaltung der mitbeteiligten Person, dass seine anlässlich zu Verrechnungszwecken mit den Kostenträgern erhobenen personenbezogenen Daten zum Zwecke eines Spendenaufrufs weiterverarbeitet werden. Die Weiterverarbeitung sei daher als nicht vorhersehbar zu qualifizieren. Selbst wenn man davon ausginge, dass es sich nicht im Gesundheitsdaten im Sinne des Artikel 4, Ziffer 15, DSGVO handle, sei die Sekundärverarbeitung unzulässig. Es bestehe zwar ein enger wirtschaftlicher Zusammenhang zwischen dem ursprünglichen Erhebungszweck und dem Zweck der Weiterverarbeitung, es liege jedoch nicht innerhalb der vernünftigen Erwartungshaltung der mitbeteiligten Person, dass seine anlässlich zu Verrechnungszwecken mit den Kostenträgern erhobenen personenbezogenen Daten zum Zwecke eines Spendenaufrufs weiterverarbeitet werden. Die Weiterverarbeitung sei daher als nicht vorhersehbar zu qualifizieren. ErwGr. 47 DSGVO erkenne zwar an, dass Direktwerbung ein berechtigtes Interesse darstellen könne, allerdings genüge es jedoch nicht, dass ein Rechtmäßigkeitsgrund

Art. 6Abs.

1 lit a – f vorliege, sondern müssten ebenso alle Grundsätze des Art. 5 DSGVO eingehalten werden. Dies sei hier insbesondere deshalb nicht der Fall, da der Beschwerdeführer erst auf dem Schreiben selbst über die Verarbeitung seiner Daten in Kenntnis gesetzt wurde. Diese Vorgangsweise widerspreche Art. 5 Abs. 1 lit. a iVm Art. 13 DSGVO und somit den Grundsätzen der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben und der Transparenz. Insbesondere dem Transparenzgrundsatz zufolge hätte die Aufklärung über die Weiterverarbeitung bereits zum Zeitpunkt der Datenerhebung erfolgen müssen und nicht erst im Zuge des Spendenaufrufs. ErwGr. 47 DSGVO erkenne zwar an, dass Direktwerbung ein berechtigtes Interesse darstellen könne, allerdings genüge es jedoch nicht, dass ein Rechtmäßigkeitsgrund

Artikel 6

, Absatz eins, Litera a, – f vorliege, sondern müssten ebenso alle Grundsätze des Artikel 5, DSGVO eingehalten werden. Dies sei hier insbesondere deshalb nicht der Fall, da der Beschwerdeführer erst auf dem Schreiben selbst über die Verarbeitung seiner Daten in Kenntnis gesetzt wurde. Diese Vorgangsweise widerspreche Artikel 5, Absatz eins, Litera a, in Verbindung mit Artikel 13, DSGVO und somit den Grundsätzen der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben und der Transparenz. Insbesondere dem Transparenzgrundsatz zufolge hätte die Aufklärung über die Weiterverarbeitung bereits zum Zeitpunkt der Datenerhebung erfolgen müssen und nicht erst im Zuge des Spendenaufrufs.

1. Mit verfahrensgegenständlicher Bescheidbeschwerde vom 25.07.2023 wandte sich die Beschwerdeführerin an das Bundesverwaltungsgericht und führte im Wesentlichen aus, dass die belangte Behörde zunächst irrig davon ausgehe, dass es sich bei den erhobenen Daten nach der Zweckänderung noch um „Gesundheitsdaten“ handle. Richtigerweise müsse die belangte Behörde die Beurteilung aber nach der Zweckänderung vornehmen. Die Abteilung, die für die Versendung der Spendenaufrufe verantwortlich sei, sei organisatorisch und technisch von der datenerhebenden Abteilung getrennt, sodass die Abteilung für die Spendenaufrufe lediglich „Kontaktinformationen“ verarbeite. In weiterer Folge seien auch die weiteren Grundsätze des Art. 6 Abs. 4 DSGVO erfüllt. Es sei durchaus zu erwarten, dass eine gemeinnützige Rettungsorganisation erhobene Daten zum Zwecke der Spendenaufrufe verwende. Zudem hätte die belangte Behörde die mitbeteiligte Partei dazu befragen müssen, ob sie einen Spendenaufruf für möglich gehalten habe. Zum von der belangten Behörde angenommenen Verstoß gegen den Grundsatz von Treu und Glauben führte die Beschwerdeführerin aus, dass die isolierte und punktuelle Zweckänderung sowie die Weiterverarbeitung zu Zwecken der „Direktwerbung“ zulässig sei. Es handle sich dabei um keine fragwürdige Geschäftspraxis. Die Argumentation der belangten Behörde, dass die beabsichtigte Zweckänderung bereits bei der Datenerhebung offengelegt werden müsse, mache Art. 6 Abs. 4 grundsätzlich obsolet, somit könne dieser Ansicht auch nicht gefolgt werden.
2. Mit verfahrensgegenständlicher Bescheidbeschwerde vom 25.07.2023 wandte sich die Beschwerdeführerin an das Bundesverwaltungsgericht und führte im Wesentlichen aus, dass die belangte Behörde zunächst irrig davon ausgehe, dass es sich bei den erhobenen Daten nach der Zweckänderung noch um „Gesundheitsdaten“ handle. Richtigerweise müsse die belangte Behörde die Beurteilung aber nach der Zweckänderung vornehmen. Die Abteilung, die für die Versendung der Spendenaufrufe verantwortlich sei, sei organisatorisch und technisch von der datenerhebenden Abteilung getrennt, sodass die Abteilung für die Spendenaufrufe lediglich „Kontaktinformationen“ verarbeite. In weiterer Folge seien auch die weiteren Grundsätze des Artikel 6, Absatz 4, DSGVO erfüllt. Es sei durchaus zu erwarten, dass eine gemeinnützige Rettungsorganisation erhobene Daten zum Zwecke der Spendenaufrufe verwende. Zudem hätte die belangte Behörde die mitbeteiligte Partei dazu befragen müssen, ob sie einen Spendenaufruf für möglich gehalten habe. Zum von der belangten Behörde angenommenen Verstoß gegen den Grundsatz von Treu und Glauben führte die Beschwerdeführerin aus, dass die isolierte und punktuelle Zweckänderung sowie die Weiterverarbeitung zu Zwecken der „Direktwerbung“ zulässig sei. Es handle sich dabei um keine fragwürdige Geschäftspraxis. Die Argumentation der belangten Behörde, dass die beabsichtigte Zweckänderung bereits bei der Datenerhebung offengelegt werden müsse, mache Artikel 6, Absatz 4, grundsätzlich obsolet, somit könne dieser Ansicht auch nicht gefolgt werden. Die Beschwerdeführerin beantragte schließlich, das Bundesverwaltungsgericht möge der Beschwerde stattgeben, den bekämpften Bescheid aufheben und in der Sache entscheiden, in eventu der Beschwerde stattgeben und die Sache an die Behörde zur neuerlichen Entscheidung zurückverweisen.
3. Mit Schriftsatz vom 25.09.2023 übermittelte die belangte Behörde den Bescheid sowie den dazugehörigen Verwaltungsakt an das Bundesverwaltungsgericht und führte in ihrer beiliegenden Stellungnahme im Wesentlichen denselben Rechtsstandpunkt aus, den sie bereits im Bescheid vertrat. Ergänzend brachte sie vor, dass die in Rede stehenden Daten aufgrund der weiten Begriffsauslegung des EuGH sowie des gesundheitlichen Kontextes als besondere Kategorie von Daten anzusehen sei. Dem Argument, dass die mitbeteiligte Partei auf vernünftige Weise damit rechnen könne, dass ihre Daten für einen Spendenaufruf verwendet werden würden, sei entgegenzuhalten, dass die erhobene Datenschutzbeschwerde schon für sich genommen bedeute, dass die mitbeteiligte Partei eben nicht damit gerechnet habe. Weiters seien die Verarbeitungsgrundsätze des Art. 5 DSGVO teilweise nicht eingehalten worden, weswegen eine Datenverarbeitung basierend auf Art. 6 Abs. 1 lit. f DSGVO ohnehin ausscheide.
4. Mit Schriftsatz vom 25.09.2023 übermittelte die belangte Behörde den Bescheid sowie den dazugehörigen Verwaltungsakt an das Bundesverwaltungsgericht und führte in ihrer beiliegenden Stellungnahme im Wesentlichen denselben Rechtsstandpunkt aus, den sie bereits im Bescheid vertrat. Ergänzend brachte sie vor, dass die in Rede stehenden Daten aufgrund der weiten Begriffsauslegung des EuGH sowie des gesundheitlichen Kontextes als besondere Kategorie von Daten anzusehen sei. Dem Argument, dass die mitbeteiligte Partei auf vernünftige Weise damit rechnen könne, dass ihre Daten für einen Spendenaufruf verwendet werden würden, sei entgegenzuhalten, dass die erhobene Datenschutzbeschwerde schon für sich genommen bedeute, dass die mitbeteiligte Partei eben nicht damit gerechnet habe. Weiters seien die Verarbeitungsgrundsätze des Artikel 5, DSGVO teilweise nicht eingehalten worden, weswegen eine Datenverarbeitung basierend auf Artikel 6, Absatz eins, Litera f, DSGVO ohnehin ausscheide.
5. Die Vorlage an das Bundesverwaltungsgericht wurde den Parteien zur Stellungnahme übermittelt. Die Beschwerdeführerin führte in ihrer ergänzenden Stellungnahme vom 10.10.2023, dazu aus, dass jene Abteilung, die für die Spendenaufrufe verantwortlich sei, nichts über den Gesundheitszustand der betroffenen Person wisse, da das Spektrum des Transports sehr weit sei. Weiters sei auszuführen, dass Nachfragen von Betroffenen zu den Spendenaufrufen den absoluten Ausnahmefall darstellen, weswegen es innerhalb der vernünftigen Erwartungshaltung liege, einen solchen zu erhalten. Eine Vorabinformation zur Zweckänderung sei auch aufgrund der zeitlichen Nähe zwischen der Datenerhebung und des Spendenaufrufs weder zielführend noch sinnvoll.
6. Am 12.05.2025 wurde die gegenständliche Rechtssache, aufgrund der Verfügung des Geschäftsverteilungsausschusses vom 29.04.2025, der Abteilung W287 abgenommen und der Abteilung W298 neu zugewiesen.
7. Mit Beschluss vom 25.06.2025 wurde der Beschwerdeführerin aufgetragen zu Ihrem Vorbingen eine ergänzende Stellungnahme abzugeben und die organisatorische Trennung zwischen „Werbung“ und Abrechnungsabteilung offenzulegen und dazu geeignete Beweismittel anzubieten.
8. Mit Stellungnahme vom 01.08.2025 kam die Beschwerdeführerin dieser Aufforderung nach und führte aus, dass ein Datenauszug die mitbeteiligte Partei betreffend nicht mehr möglich sei, da diese bereits gelöscht worden seien. Zur Frage der organisatorischen Trennung der Datenverarbeitung betreffend Spendenaufrufe und Krankenpflege und Transportdienst legte die Beschwerdeführerin offen, dass Datenverarbeitungen in einem System

Sanitätergesetz gespeichert werden und anschließend lediglich zur Verrechnung verwendet werden. Es gebe zwar keine eigene Abteilung aber keine personellen Überschneidungen. Darüber hinaus werde nur der Datensatz betreffend Name und Adresse für Spendenaufrufe verwendet, ohne weitere Interaktion durch eine betroffene Person nach sechs Monaten gelöscht und systemisch getrennt verarbeitet.

1. Nach Einräumen von Parteiengehör führte die belangte Behörde aus, dass nach der rezenten Judikatur des EuGH die Information über die Verarbeitungszwecke bereits beim Erheben der Information zu erteilen sei und dies nach Meinung der belangten Behörde nicht vorliege. Es falle außerdem auf, dass die Beschwerdeführerin den Spendenaufrufbrief erst Monate nachdem die mitbeteiligte Partei die Leistungen der Beschwerdeführerin in Anspruch genommen habe, ausgeschickt habe.
2. Die mitbeteiligte Partei führte dazu aus, dass nach den Richtlinien der Beschwerdeführerin der Datensatz noch vorhanden sein müsste, da es ja ein anhängiges Verfahren gebe. Darüber hinaus werde auch das Geschlecht einer betroffenen Person vom einen in das andere System übertragen, um eine Anrede zu erstellen. Es gebe laut Stellungnahme der Beschwerdeführerin auch keine Filterfunktion, die verstorbene oder minderjährige Personen von der Datenverarbeitung ausnehme. Die Formulierung des Schreibens lasse jedenfalls einen anderen Schluss zu, als dass nur die genannten Daten verwendet würden. II. Das Bundesverwaltungsgericht hat erwogen: römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
3. Feststellungen: Der unter Punkt I. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt.Der unter Punkt römisch eins. dargestellte Verfahrensgang wird den Feststellungen zu Grunde gelegt. 1.
4. Die Beschwerdeführerin ist eine Gesellschaft mit beschränkter Haftung und zu FN XXXX im Firmenbuch eingetragen. Sie steht letztlich im Eigentum des Vereins XXXX Österreich, der zur Zahl XXXX im Zentralen Vereinsregister eingetragen ist. Geschäftszweig der Beschwerdeführerin ist Rettung und Soziale Dienste. Im Rahmen dieses Geschäftszweigs führt die Beschwerdeführerin unter anderem Rettungseinsätze sowie Krankentransporte durch. Die Beschwerdeführerin ist gemeinnützig tätig, nicht auf Gewinn gerichtet und finanziert sich zu einem großen Teil aus Spendeneinnahmen. 1.
5. Die Beschwerdeführerin ist eine Gesellschaft mit beschränkter Haftung und zu FN römisch 40 im Firmenbuch eingetragen. Sie steht letztlich im Eigentum des Vereins römisch 40 Österreich, der zur Zahl römisch 40 im Zentralen Vereinsregister eingetragen ist. Geschäftszweig der Beschwerdeführerin ist Rettung und Soziale Dienste. Im Rahmen dieses Geschäftszweigs führt die Beschwerdeführerin unter anderem Rettungseinsätze sowie Krankentransporte durch. Die Beschwerdeführerin ist gemeinnützig tätig, nicht auf Gewinn gerichtet und finanziert sich zu einem großen Teil aus Spendeneinnahmen. 1.
6. Die Beschwerdeführerin erhebt im Zusammenhang mit Rettungseinsätzen und Krankentransporten verschiedenste Daten der betroffenen Personen zum Zwecke der Dokumentation und Verrechnung mit den jeweiligen Versicherungsträgern, darunter auch Daten der Kategorien im Sinne des Art. 9 DSGVO. Teile dieser Daten verwendet die Beschwerdeführerin zum Aussenden von Spendenaufrufen.1.
7. Die Beschwerdeführerin erhebt im Zusammenhang mit Rettungseinsätzen und Krankentransporten verschiedenste Daten der betroffenen Personen zum Zwecke der Dokumentation und Verrechnung mit den jeweiligen Versicherungsträgern, darunter auch Daten der Kategorien im Sinne des Artikel 9, DSGVO. Teile dieser Daten verwendet die Beschwerdeführerin zum Aussenden von Spendenaufrufen. 1.
8. Zum Zwecke der Erbringung der Dienstleistung der Beschwerdeführerin werden personenbezogene Daten und personenbezogene Daten besonderer Kategorie im System „S1“ verarbeitet. Dabei handelt es sich um ein vollintegriertes System, in dem der jeweilige Transport verzeichnet und

dem Sanitätergesetz dokumentiert wird. 1.

1. Im Anschluss werden die Daten in das System Microsoft Dynamics NAV“ (kurz: „Navision“) zur Abrechnung übertragen. Im System „Navision“ sind folgende Daten (beispielhaft) hinsichtlich der mitbeteiligten Partei noch enthalten 1.
2. Wenn ein Transport im System „S1“ eingetragen worden ist, werden aus neuen Datensätzen Name und Adresse extrahiert und nicht nur nach Navision, sondern auch in die Spendenverwaltungssoftware (kurz „BPA“ genannt) übertragen und ein Spendenbrief versendet. 1.
3. Die mitbeteiligte Person wurde im Februar 2022 durch die Beschwerdeführerin transportiert. In diesem Zusammenhang wurden die Daten der mitbeteiligten Person zu den unter den genannten Zwecken erhoben. 1.
4. Mit unten abgebildetem Schreiben vom XXXX .2022 (Formatierung nicht 1:1 wie im Original) erhielt die mitbeteiligte Partei einen an sie persönlich adressierten Spendenaufruf der Beschwerdeführerin. Die entsprechenden Kontaktdaten waren der Beschwerdeführerin nur aufgrund der Datenerhebung im Zuge des Transporteinsatzes bekannt.1.
5. Mit unten abgebildetem Schreiben vom römisch 40 .2022 (Formatierung nicht 1:1 wie im Original) erhielt die mitbeteiligte Partei einen an sie persönlich adressierten Spendenaufruf der Beschwerdeführerin. Die entsprechenden Kontaktdaten waren der Beschwerdeführerin nur aufgrund der Datenerhebung im Zuge des Transporteinsatzes bekannt. 1.
6. Die Beschwerdeführerin informierte die mitbeteiligte Partei mit dem Schreiben vom XXXX .2022 über die Zweckänderung der Datenverarbeitung, die sie für das Zusenden des Spendenaufrufs vorgenommen hatte. 1.
7. Die Beschwerdeführerin informierte die mitbeteiligte Partei mit dem Schreiben vom römisch 40 .2022 über die Zweckänderung der Datenverarbeitung, die sie für das Zusenden des Spendenaufrufs vorgenommen hatte. 1.
8. Die Daten der mitbeteiligten Partei wurden nach 6 Monaten ohne Interaktion gelöscht.
9. Beweiswürdigung: 2.
10. Die Feststellungen zur Beschwerdeführerin, ihrer Organisationsform sowie ihrer Zugehörigkeit zum gemeinnützigen Verein des XXXX ergeben sich aus den Vorbringen der Beschwerdeführerin, sowie einer gerichtlichen Überprüfung im Firmenbuch.2.
11. Die Feststellungen zur Beschwerdeführerin, ihrer Organisationsform sowie ihrer Zugehörigkeit zum gemeinnützigen Verein des römisch 40 ergeben sich aus den Vorbringen der Beschwerdeführerin, sowie einer gerichtlichen Überprüfung im Firmenbuch. 2.
12. Die weiteren Feststellungen beruhen auf dem unbedenklichen Akteninhalt, insbesondere den in den Wesentlichen Inhalten übereinstimmenden Angaben der Parteien im Laufe des Verfahrens, sowie dem der Datenschutzbeschwerde beigelegten gescannten Spendenaufruf. 2.
13. Die Feststellungen zu den Dateisystemen und den Datenkategorien, welche vom System „S1“ in NAV und BPA transferiert werden, konnten aufgrund der Stellungnahme der Beschwerdeführerin vom 01.08.2025 getroffen werden.
14. Rechtliche Beurteilung: 3.
15. Zu Spruchpunkt A) Abweisung der Beschwerde

§ 6BVw

GG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

§ 27Datenschutzgesetz (DSG) idg

F entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

§ 24Abs.

7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Paragraph 27, Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.

§ 28Abs. 1 Vw

GVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 31Abs. 1 Vw

GVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Paragraph 28, Absatz eins, VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 31, Absatz eins, VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden

Art. 130Abs.

1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden

Artikel 130

, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. 3.2. Rechtslage § 1 DSG lautet:Paragraph eins, DSG lautet: (Verfassungsbestimmung) Grundrecht auf Datenschutz § 1.

Art. 51DSGVO eingerichtet.Paragraph 18,

Artikel 51, DSGVO eingerichtet. § 24 DSG lautet:Paragraph 24, DSG lautet: „Beschwerde an die Datenschutzbehörde § 24.

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89Absatz 1 verarbeitet werden („Speicherbegrenzung“); 6.

in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

Artikel 9

verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten

Artikel 10verarbeitet werden, d.

die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen, e. das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.“ Art. 9 DSGVO lautet auszugsweise:Artikel 9, DSGVO lautet auszugsweise: „Verarbeitung besonderer Kategorien personenbezogener Daten

Artikel 89Absatz 1 erforderlich.

[…]“ Art. 13 DSGVO lautet:Artikel 13, DSGVO lautet: „Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person

Artikel 46

oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten: a. die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; b. das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit; c. wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird; d. das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde; e. ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und f. das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling

Artikel 22

Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Absatz 2 zur Verfügung.

Artikel 46

oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, eine Kopie von ihnen zu erhalten, oder wo sie verfügbar sind.

Absatz 1 stellt der Verantwortliche der betroffenen Person die folgenden Informationen zur Verfügung, die erforderlich sind, um der betroffenen Person gegenüber eine faire und transparente Verarbeitung zu gewährleisten: a. die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer; b. wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden; c. das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung und eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit; d. wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird; e. das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde; f. aus welcher Quelle die personenbezogenen Daten stammen und gegebenenfalls ob sie aus öffentlich zugänglichen Quellen stammen; g. das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling

Artikel 22

Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

den Absätzen 1 und 2 a. unter Berücksichtigung der spezifischen Umstände der Verarbeitung der personenbezogenen Daten innerhalb einer angemessenen Frist nach Erlangung der personenbezogenen Daten, längstens jedoch innerhalb eines Monats, b. falls die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen, spätestens zum Zeitpunkt der ersten Mitteilung an sie, oder, c. falls die Offenlegung an einen anderen Empfänger beabsichtigt ist, spätestens zum Zeitpunkt der ersten Offenlegung.

Absatz 2 zur Verfügung.

dem Unionsrecht oder dem Recht der Mitgliedstaaten dem Berufsgeheimnis, einschließlich einer satzungsmäßigen Geheimhaltungspflicht, unterliegen und daher vertraulich behandelt werden müssen.“ 3.

1. Auf den konkreten Fall umgelegt bedeutet dies Folgendes: 3.3.
2. Die mitbeteiligte Partei rügte im Rahmen ihrer Datenschutzbeschwerde, dass ihre Daten von der Beschwerdeführerin auf unzulässige Weise verarbeitet worden seien. Die betroffenen Daten würden Gesundheitsdaten

Art. 4Z 15 DSGVO darstellen.

Daher sei die Verarbeitung durch die Beschwerdeführerin unzulässig, da die Ausnahmetatbestände des Art. 9 Abs. 2 DSGVO nicht erfüllt seien. Die Beschwerdeführerin habe der mitbeteiligten Person einen Spendenaufruf zugeschickt, mithilfe der Verarbeitung von Daten, die sie im Zuge eines Rettungseinsatzes erhoben habe und damit gegen ihr Grundrecht auf Geheimhaltung

§ 1Abs.

1 DSG verstoßen. Die Beschwerdeführerin stützt die Verarbeitung auf das Argument, es handle sich bei den verarbeiteten Daten (Name und Adresse) nicht um Gesundheitsdaten, die Weiterverarbeitung sei von Art. 6 Abs. 4 DSGVO gedeckt. 3.3.1. Die mitbeteiligte Partei rügte im Rahmen ihrer Datenschutzbeschwerde, dass ihre Daten von der Beschwerdeführerin auf unzulässige Weise verarbeitet worden seien. Die betroffenen Daten würden Gesundheitsdaten

Artikel 4, Ziffer 15, DSGVO darstellen.

Daher sei die Verarbeitung durch die Beschwerdeführerin unzulässig, da die Ausnahmetatbestände des Artikel 9, Absatz 2, DSGVO nicht erfüllt seien. Die Beschwerdeführerin habe der mitbeteiligten Person einen Spendenaufruf zugeschickt, mithilfe der Verarbeitung von Daten, die sie im Zuge eines Rettungseinsatzes erhoben habe und damit gegen ihr Grundrecht auf Geheimhaltung

Paragraph eins, Absatz eins, DSG verstoßen. Die Beschwerdeführerin stützt die Verarbeitung auf das Argument, es handle sich bei den verarbeiteten Daten (Name und Adresse) nicht um Gesundheitsdaten, die Weiterverarbeitung sei von Artikel 6, Absatz 4, DSGVO gedeckt. 3.3.2. Personenbezogene Daten müssen

Art 5Abs.

1 lit. b) DSGVO für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Der Begriff "Verarbeitung" wird in Art 4 Nr 2 DSGVO weit definiert als jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit Daten wie unter anderem das Erheben, das Erfassen und die Speicherung dieser Daten.3.3.2. Personenbezogene Daten müssen

Artikel 5

, Absatz eins, Litera b,) DSGVO für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden. Der Begriff "Verarbeitung" wird in Artikel 4, Nr 2 DSGVO weit definiert als jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit Daten wie unter anderem das Erheben, das Erfassen und die Speicherung dieser Daten. Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, stellt dies

Art 6Abs.

4 DSGVO eine "Weiterverarbeitung" der Daten dar. Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, stellt dies

Artikel 6, Absatz 4, DSGVO eine "Weiterverarbeitung" der Daten dar.

Die Beschwerdeführerin betreibt Rettungs- und Soziale Dienste. Im Rahmen dieses Geschäftszweigs hat die Beschwerdeführerin Dienste im Februar 2022 an die mitbeteiligte Partei geleistet und dabei Daten wie unter II. 1.4 ersichtlich erhoben. Die Daten wurden dann zum Zwecke der Verrechnung mit dem Sozialversicherungsträger in das Datenverarbeitungssystem Microsoft Dynamics NAV übertragen. Name, Adresse und Geschlecht wurden in der Folge nach einem Datenabgleich, ob der Datensatz bereits besteht, zum Zwecke eines Spendenaufrufes verarbeitet. Die Beschwerdeführerin betreibt Rettungs- und Soziale Dienste. Im Rahmen dieses Geschäftszweigs hat die Beschwerdeführerin Dienste im Februar 2022 an die mitbeteiligte Partei geleistet und dabei Daten wie unter römisch zwei. 1.4 ersichtlich erhoben. Die Daten wurden dann zum Zwecke der Verrechnung mit dem Sozialversicherungsträger in das Datenverarbeitungssystem Microsoft Dynamics NAV übertragen. Name, Adresse und Geschlecht wurden in der Folge nach einem Datenabgleich, ob der Datensatz bereits besteht, zum Zwecke eines Spendenaufrufes verarbeitet. 3.3.

1. Zur Verarbeitung von Daten zum Spendenaufruf: Eine Verarbeitung im Sinne des Art. 4 Z 2 DSGVO ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Im vorliegenden Sachverhalt kam es jedenfalls zu einer Verwendung der Daten der mitbeteiligten Person, indem der für die Spendenaufrufe verantwortliche Geschäftsbereich der Beschwerdeführerin die Daten der mitbeteiligten Person verwendete, um einen Spendenaufruf an die mitbeteiligte Person zu verschicken. Die Beschwerdeführerin ist Verantwortliche im Sinne des Art. 4 Z 7 DSGVO. Eine Verarbeitung im Sinne des Artikel 4, Ziffer 2, DSGVO ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Im vorliegenden Sachverhalt kam es jedenfalls zu einer Verwendung der Daten der mitbeteiligten Person, indem der für die Spendenaufrufe verantwortliche Geschäftsbereich der Beschwerdeführerin die Daten der mitbeteiligten Person verwendete, um einen Spendenaufruf an die mitbeteiligte Person zu verschicken. Die Beschwerdeführerin ist Verantwortliche im Sinne des Artikel 4, Ziffer 7, DSGVO. Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig (§ 1 Abs. 2 DSG).Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig (Paragraph eins, Absatz 2, DSG). Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie – unter Einhaltung der in Art. 5 Abs. 1 DSGVO genannten Verarbeitungsgrundsätze – auf Grund eines des in Art. 6 DSGVO genannten Erlaubnistatbestandes erfolgt.Die Verarbeitung personenbezogener Daten ist zulässig, wenn sie – unter Einhaltung der in Artikel 5, Absatz eins, DSGVO genannten Verarbeitungsgrundsätze – auf Grund eines des in Artikel 6, DSGVO genannten Erlaubnistatbestandes erfolgt. Art. 5 DSGVO legt die Grundsätze für die Verarbeitung personenbezogener Daten fest (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz [Art. 5 Abs. 1 lit a], Grundsatz der Zweckbindung [Art. 5 Abs. 1 lit b], Grundsatz der Datenminimierung [Art. 5 Abs. 1 lit. c], Grundsatz der Richtigkeit [Art. 5 Abs. 1 lit. d], Grundsatz der Speicherbegrenzung [Art. 5 Abs. 1 lit. e], Grundsatz der Integrität und Vertraulichkeit [Art. 5 Abs. 1 lit. f], Grundsatz der Rechenschaftspflicht [Art. 5 Abs. 2], vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 5 DSGVO [Stand 1.12.2020, rdb.at]). Für den Grundsatz des „Treu und Glaubens“ ist dabei auf die gesamte Rechtsordnung – sohin auch auf die Gewerbeordnung – abzustellen (vgl. VwGH 17.05.2023, Ro 2021/13/0023). Eine Verarbeitung nach Treu und Glauben muss dabei innerhalb dessen liegen, womit der Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie es der Verantwortliche nach außen hin darstellt (vgl. ua. ErwGr 38 der RL 95/46/EG; sowie VwGH 17.05.2023, Ro 2021/13/0023).Artikel 5, DSGVO legt die Grundsätze für die Verarbeitung personenbezogener Daten fest (Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz ["Art". 5 Absatz eins, lit a], Grundsatz der Zweckbindung ["Art". 5 Absatz eins, lit b], Grundsatz der Datenminimierung ["Art". 5 Absatz eins, lit. c], Grundsatz der Richtigkeit ["Art". 5 Absatz eins, lit. d], Grundsatz der Speicherbegrenzung ["Art". 5 Absatz eins, lit. e], Grundsatz der Integrität und Vertraulichkeit ["Art". 5 Absatz eins, lit. f], Grundsatz der Rechenschaftspflicht ["Art". 5 Absatz 2 ],, vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 5, DSGVO [Stand 1.12.2020, rdb.at]). Für den Grundsatz des „Treu und Glaubens“ ist dabei auf die gesamte Rechtsordnung – sohin auch auf die Gewerbeordnung – abzustellen vergleiche VwGH 17.05.2023, Ro 2021/13/0023). Eine Verarbeitung nach Treu und Glauben muss dabei innerhalb dessen liegen, womit der Betroffene im Lichte der gesamten Rechtsordnung rechnen muss, und so gestaltet sein, wie es der Verantwortliche nach außen hin darstellt vergleiche ua. ErwGr 38 der RL 95/46/EG; sowie VwGH 17.05.2023, Ro 2021/13/0023). Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung3, Art. 6 Rz 1).Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Artikel 6, DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Artikel 5, Absatz eins, geregelten Grundsätzen – mindestens einem der in Artikel 6, Absatz eins, DSGVO abschließend festgelegten Rechtsgründe genügen muss vergleiche Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung3, Artikel 6, Rz 1). Eine Datenverarbeitung ist aufgrund eines berechtigen Interesses rechtmäßig (Art. 6 Abs. 1 lit. f DSGVO), wenn die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist nach dieser Bestimmung grundsätzlich eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Art. 7 lit. f Datenschutzrichtlinie 95/46/EG vgl. EuGH 04.05.2017, C-13/16, Rīgas satiksme, Rz 31). Der EuGH hat zur Vorgängerbestimmung des Art. 7 lit. f DS-RL ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist:Eine Datenverarbeitung ist aufgrund eines berechtigen Interesses rechtmäßig (Artikel 6, Absatz eins, Litera f, DSGVO), wenn die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Es ist nach dieser Bestimmung grundsätzlich eine einzelfallbezogene Interessensabwägung durchzuführen, bei der die berechtigten Interessen des Verantwortlichen oder eines Dritten für die Verarbeitung den Interessen oder Grundrechten und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, gegenüberzustellen sind (zur vergleichbaren Vorgängerbestimmung des Artikel 7, Litera f, Datenschutzrichtlinie 95/46/EG vergleiche EuGH 04.05.2017, C-13/16, Rīgas satiksme, Rz 31). Der EuGH hat zur Vorgängerbestimmung des Artikel 7, Litera f, DS-RL ein „Prüfschema“ vorgegeben, wonach die Verarbeitung personenbezogener Daten unter drei kumulativen Voraussetzungen zulässig ist:
2. Vorliegen eines berechtigten Interesses, das von dem für die Verarbeitung Verantwortlichen oder von dem bzw. den Dritten wahrgenommen wird, denen die Daten übermittelt werden
3. Erforderlichkeit der Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses und
4. kein Überwiegen der Grundrechte und Grundfreiheiten der betroffenen Person. Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (zB mögliche Kunden der Beschwerdeführerin) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen (ErwG 47 DSGVO). Das berechtigte Interesse kann sich aus der gesamten Rechtsordnung ergeben (Haidinger in Knyrim, Datenschutzrecht4, Kap 5, Rz 5.76). Auch die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung (als welche auch der vorliegende Spendenaufruf zu beurteilen ist) kann nach Erwägungsgrund 47 der DSGVO als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden. Ursprünglich sah die Kommission in ihren Vorschlägen für die DSGVO noch das Erfordernis einer Einwilligung in eine Datenverarbeitung zu Zwecken der „Direktwerbung“ vor, nahm davon letztlich wieder Abstand und sah stattdessen lediglich ein Widerspruchsrecht des Betroffenen vor, wie es jetzt auch in Art. 21 Abs. 2 DSGVO normiert ist. Wird dieses Widerspruchsrecht ausgeübt, so löst es unmittelbar die Rechtsfolgen des Abs. 3 aus, ohne dass besondere Gründe vorgebracht werden müssen und ohne, dass eine Interessenabwägung durchgeführt werden muss (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 21 DSGVO (Stand 1.12.2020, rdb.at) Rz 23; vgl. dazu Eckhardt, DSK-Orientierungshilfe Direktwerbung: Alles geklärt?, Kommunikation und Recht 05/2019, 296; Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter der Geltung der Datenschutz-Grundverordnung (DS-GVO) vom Februar 2022; Plath/Grages, „Let’s stay in touch“ – Direktwerbung unter der DSGVO, CR 2018, 773/774). Gleiches muss gelten, wenn die betroffene Person nicht oder nicht ordnungsgemäß nach Art. 21 Abs. 4 auf ihr Widerspruchsrecht hingewiesen worden ist (Buchner/Petri in Kühling/Buchner, DS-GVO – BDSG², Art. 6 Rz 176).Dabei sind einerseits die Interessen des Verantwortlichen und von Dritten (zB mögliche Kunden der Beschwerdeführerin) sowie andererseits die Interessen, Rechte und Erwartungen der betroffenen Person zu berücksichtigen, wobei auch zu prüfen ist, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen sie erfolgt, vernünftigerweise absehen kann, dass möglicherweise eine Verarbeitung für diesen Zweck erfolgen wird. Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen (ErwG 47 DSGVO). Das berechtigte Interesse kann sich aus der gesamten Rechtsordnung ergeben (Haidinger in Knyrim, Datenschutzrecht4, Kap 5, Rz 5.76). Auch die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung (als welche auch der vorliegende Spendenaufruf zu beurteilen ist) kann nach Erwägungsgrund 47 der DSGVO als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden. Ursprünglich sah die Kommission in ihren Vorschlägen für die DSGVO noch das Erfordernis einer Einwilligung in eine Datenverarbeitung zu Zwecken der „Direktwerbung“ vor, nahm davon letztlich wieder Abstand und sah stattdessen lediglich ein Widerspruchsrecht des Betroffenen vor, wie es jetzt auch in Artikel 21, Absatz 2, DSGVO normiert ist. Wird dieses Widerspruchsrecht ausgeübt, so löst es unmittelbar die Rechtsfolgen des Absatz 3, aus, ohne dass besondere Gründe vorgebracht werden müssen und ohne, dass eine Interessenabwägung durchgeführt werden muss (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 21, DSGVO (Stand 1.12.2020, rdb.at) Rz 23; vergleiche dazu Eckhardt, DSK-Orientierungshilfe Direktwerbung: Alles geklärt?, Kommunikation und Recht 05 aus 2019,, 296; Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter der Geltung der Datenschutz-Grundverordnung (DS-GVO) vom Februar 2022; Plath/Grages, „Let’s stay in touch“ – Direktwerbung unter der DSGVO, CR 2018, 773/774). Gleiches muss gelten, wenn die betroffene Person nicht oder nicht ordnungsgemäß nach Artikel 21, Absatz 4, auf ihr Widerspruchsrecht hingewiesen worden ist (Buchner/Petri in Kühling/Buchner, DS-GVO – BDSG², Artikel 6, Rz 176). Werbung wird in Art. 2 lit. a der EU-Richtlinie 2006/114/EG über irreführende und vergleichende Werbung vom
5. Dezember 2006 definiert als „jede Äußerung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel, den Absatz von Waren oder die Erbringung von Dienstleistungen, einschließlich unbeweglicher Sachen, Rechte und Verpflichtungen, zu fördern“. Werbung wird in Artikel 2, Litera a, der EU-Richtlinie 2006/114/EG über irreführende und vergleichende Werbung vom
6. Dezember 2006 definiert als „jede Äußerung bei der Ausübung eines Handels, Gewerbes, Handwerks oder freien Berufs mit dem Ziel, den Absatz von Waren oder die Erbringung von Dienstleistungen, einschließlich unbeweglicher Sachen, Rechte und Verpflichtungen, zu fördern“. Auch wenn die Beschwerdeführerin kein Gewerbe als „Adressverlage und Direktmarketingunternehmen“ betreibt, ist sie dennoch dazu berechtigt, Werbemaßnahmen zu setzen, weil diese in einer marktwirtschaftlich orientierten Wirtschaftsordnung nicht wegzudenken sind – insbesondere dann, wenn ein Unternehmen zur Finanzierung seiner Tätigkeiten Spenden benötigt, weil es gemeinnützig tätig und nicht auf Gewinn gerichtet ist. Es gehört zum berechtigten Zweck eines jeden Gewerbetreibenden, Daten zum Zweck der Durchführung von „Werbeaktionen“, hier einem Spendenaufruf, zu ermitteln oder zu verarbeiten (Stolzlechner/Müller/Seider/Vogelgesang/Höllbacher, GewO4

Art. 21Abs.

2 DSGVO hat die betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zum Zwecke der Direktwerbung einzulegen, wenn personenbezogene Daten verarbeitet werden, um Direktwerbung zu betreiben. Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet (Art. 21 Abs. 3 DSGVO).

Artikel 21

, Absatz 2, DSGVO hat die betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zum Zwecke der Direktwerbung einzulegen, wenn personenbezogene Daten verarbeitet werden, um Direktwerbung zu betreiben. Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet (Artikel 21, Absatz 3, DSGVO).

Art. 17Abs.

1 lit. c DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, wenn die betroffene Person

Art. 21Abs.

2 Widerspruch gegen die Verarbeitung einlegt.

Artikel 17

, Absatz eins, Litera c, DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, wenn die betroffene Person

Artikel 21, Absatz 2, Widerspruch gegen die Verarbeitung einlegt.

Die Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung kann dabei grundsätzlich – wie ausgeführt – als berechtigtes Interesse angesehen werden (vgl. ErwGr. 47; VwGH 01.02.2024, Ro 2021/04/0016 mwN). Die Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung kann dabei grundsätzlich – wie ausgeführt – als berechtigtes Interesse angesehen werden vergleiche ErwGr. 47; VwGH 01.02.2024, Ro 2021/04/0016 mwN). 3.3.

1. Zum Begriff „Gesundheitsdaten“: Als Gesundheitsdaten gelten „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über den Gesundheitszustand hervorgehen“ (Art. 4 Z. 15 DSGVO). Dahingehend legt der EuGH den (in der DS-RL genannten und auf die DSGVO übertragbaren) Begriff „Daten über Gesundheit“ weit aus und bezieht sich auf alle Informationen, die die Gesundheit einer Person unter allen Aspekten – körperlichen wie psychischen – betreffen (EuGH 06.11.2003, C-101/01, Lindqvist, Rz 50; EuGH 01.08.2022, C-184/20 , Vyriausioji tarnybinės etikos komisija, Rz 125). Als Gesundheitsdaten gelten „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über den Gesundheitszustand hervorgehen“ (Artikel 4, Ziffer 15, DSGVO). Dahingehend legt der EuGH den (in der DS-RL genannten und auf die DSGVO übertragbaren) Begriff „Daten über Gesundheit“ weit aus und bezieht sich auf alle Informationen, die die Gesundheit einer Person unter allen Aspekten – körperlichen wie psychischen – betreffen (EuGH 06.11.2003, C-101/01, Lindqvist, Rz 50; EuGH 01.08.2022, C-184/20 , Vyriausioji tarnybinės etikos komisija, Rz 125). Es reicht grundsätzlich aus, dass sich durch die verarbeiteten Daten ein mittelbarer Rückschluss auf den Gesundheitszustand der mitbeteiligten Person herstellen lässt. Es müssen aus den Daten Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen (vgl. ErwGr 35 zur DSGVO). Anknüpfungspunkt ist der Gesundheitszustand, nicht die Krankheit einer betroffenen Person. Dies ist insofern relevant, als damit sowohl Ablauf und Inhalt einer medizinischen Behandlung sowie verschriebene Medikamente unter den Begriff zu subsumieren sind, als auch die Feststellung, dass eine Person genesen oder völlig gesund ist [Jahnel in Jahnel, Kommentar zur Datenschutz-Grundverordnung, Art. 4 Z 15 DSGVO, Rz 4 (Stand: 1.12.2020 rdb.at)]. Damit personenbezogene Daten als Gesundheitsdaten im Sinne von Art. 8 Abs. 1 der Richtlinie 95/46 und Art. 9 Abs. 1 DSGVO eingestuft werden können, genügt folglich, dass aus diesen Daten mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand der betroffenen Person geschlossen werden kann (EuGH 4.11.2024, C-21/23, Lindenapotheke, Rz 83). So ist beispielsweise etwa eine Krankschreibung eines Arztes, in der mitgeteilt wird, dass eine betroffene Person arbeitsunfähig ist, als ein Gesundheitsdatum iSd DSGVO einzustufen (Hödl in Knyrim, Dat-Komm, Art. 4 DSGVO, Rz 158 [Stand: 1.12.2018 rdb.at]). Auch die bloße Erwähnung im Arbeitskontext, dass jemand krank ist, ist als Datum über die Gesundheit einer Person einzuordnen [Jahnel in Jahnel, Kommentar zur Datenschutz-Grundverordnung, Art. 4 Z 15 DSGVO, Rz 8 (Stand: 1.12.2020 rdb.at), vgl. auch Art 29-Datenschutzgruppe, Annex zum Brief vom 5.2.2015 „Health Data in apps and devices“, 2]. Es reicht grundsätzlich aus, dass sich durch die verarbeiteten Daten ein mittelbarer Rückschluss auf den Gesundheitszustand der mitbeteiligten Person herstellen lässt. Es müssen aus den Daten Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der betroffenen Person hervorgehen vergleiche ErwGr 35 zur DSGVO). Anknüpfungspunkt ist der Gesundheitszustand, nicht die Krankheit einer betroffenen Person. Dies ist insofern relevant, als damit sowohl Ablauf und Inhalt einer medizinischen Behandlung sowie verschriebene Medikamente unter den Begriff zu subsumieren sind, als auch die Feststellung, dass eine Person genesen oder völlig gesund ist [Jahnel in Jahnel, Kommentar zur Datenschutz-Grundverordnung, Artikel 4, Ziffer 15, DSGVO, Rz 4 (Stand: 1.12.2020 rdb.at)]. Damit personenbezogene Daten als Gesundheitsdaten im Sinne von Artikel 8, Absatz eins, der Richtlinie 95/46 und Artikel 9, Absatz eins, DSGVO eingestuft werden können, genügt folglich, dass aus diesen Daten mittels gedanklicher Kombination oder Ableitung auf den Gesundheitszustand der betroffenen Person geschlossen werden kann (EuGH 4.11.2024, C-21/23, Lindenapotheke, Rz 83). So ist beispielsweise etwa eine Krankschreibung eines Arztes, in der mitgeteilt wird, dass eine betroffene Person arbeitsunfähig ist, als ein Gesundheitsdatum iSd DSGVO einzustufen (Hödl in Knyrim, Dat-Komm, Artikel 4, DSGVO, Rz 158 [Stand: 1.12.2018 rdb.at]). Auch die bloße Erwähnung im Arbeitskontext, dass jemand krank ist, ist als Datum über die Gesundheit einer Person einzuordnen [Jahnel in Jahnel, Kommentar zur Datenschutz-Grundverordnung, Artikel 4, Ziffer 15, DSGVO, Rz 8 (Stand: 1.12.2020 rdb.at), vergleiche auch Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e,, Annex zum Brief vom 5.2.2015 „Health Data in apps and devices“, 2]. Ein Datum, das einen Bezug zum Gesundheitszustand einer Person herstellt, ist in Folge auch als Gesundheitsdatum im Sinne des Art. 4 Z 15 DSGVO zu betrachten. Es ist insoweit nicht relevant zu wissen, welche Krankheit oder welche Verletzung eine Person hat. Es reicht vielmehr, dass sich generell Rückschlüsse auf den allgemeinen Gesundheitszustand bilden lassen. Es ist richtigerweise auch irrelevant, ob die Informationen über den Gesundheitszustand dem status quo entsprechen. Auch Informationen über bereits vergangene oder sich erst in Zukunft bildende Veränderungen in der Gesundheit einer Person können unter Umständen – wie auch im vorliegenden Fall – als Gesundheitsdaten unter Art. 4 Z 15 DSGVO subsumiert werden [vgl. Jahnel in Jahnel, Kommentar zur Datenschutz-Grundverordnung, Art. 4 Z 15 DSGVO, Rz 4 (Stand: 1.12.2020 rdb.at)]. Ein Datum, das einen Bezug zum Gesundheitszustand einer Person herstellt, ist in Folge auch als Gesundheitsdatum im Sinne des Artikel 4, Ziffer 15, DSGVO zu betrachten. Es ist insoweit nicht relevant zu wissen, welche Krankheit oder welche Verletzung eine Person hat. Es reicht vielmehr, dass sich generell Rückschlüsse auf den allgemeinen Gesundheitszustand bilden lassen. Es ist richtigerweise auch irrelevant, ob die Informationen über den Gesundheitszustand dem status quo entsprechen. Auch Informationen über bereits vergangene oder sich erst in Zukunft bildende Veränderungen in der Gesundheit einer Person können unter Umständen – wie auch im vorliegenden Fall – als Gesundheitsdaten unter Artikel 4, Ziffer 15, DSGVO subsumiert werden [vgl. Jahnel in Jahnel, Kommentar zur Datenschutz-Grundverordnung, Artikel 4, Ziffer 15, DSGVO, Rz 4 (Stand: 1.12.2020 rdb.at)]. Im vorliegenden Fall bedeutet das, dass aufgrund dessen, dass die Information, dass ein Rettungseinsatz bzw. Krankentransport in kurzem zeitlichen Abstand zur Erhebung der Daten von Namen und Adresse aus dem System „S1“ durchgeführt wurde, ein Rückschluss auf den Gesundheitszustand der mitbeteiligten Person insoweit möglich ist, als dadurch für Mitarbeiter der Beschwerdeführerin ersichtlich ist, dass ein akuter Gesundheitszustand vorgelegen haben muss. Wie oben ausgeführt sind Name und Adresse der mitbeteiligten Person für sich genommen noch keine Daten, die einen Rückschluss auf den Gesundheitszustand zulassen, jedoch das Wissen, dass die Daten aus dem System „S1“ stammen, reicht für eine mittelbare Information im Sinne der Judikatur des EuGH zu Lindenapotheke aus. Das zusätzliche Wissen, dass die mitbeteiligte Partei einen Rettungseinsatz benötigt hat, stellt dadurch ein gesundheitsbezogenes Datum dar. Zu den Angaben der Beschwerdeführerin, es seien nur Name und Adresse verarbeitet worden, ist auszuführen, dass bei der Beschwerdeführerin – wie sich auch aus der Formulierung des Spendenaufrufs schließen lässt („Sehr geehrter Herr XXXX , wir haben Sie vor Kurzem im Zuge eines Rettungseinsatzes betreut und hoffen, dass es Ihnen wieder besser geht.“) – zusätzlich die Information vorhanden war, dass die mitbeteiligte Person eine Leistung der Beschwerdeführerin benötigte. Daraus lässt sich nicht nur ableiten, dass die Abteilung für Spendenaufrufe wusste, dass der Gesundheitszustand der mitbeteiligten Person zuvor „schlecht“ oder zumindest von der Norm abweichend gewesen ist, andernfalls sie keine Besserungswünsche ausgesprochen hätte, sondern auch, dass diese sogar aufgrund der vorliegenden Daten eine Assoziation zum Gesundheitszustand der mitbeteiligten Person herstellen konnte. Wenn die Beschwerdeführerin vorbringt, dass die Abteilung für Spendenaufrufe den Grund für den Transport nicht kenne so ist dem entgegenzuhalten, dass bereits der zeitnahe Transport mit Fahrzeugen der Beschwerdeführerin im konkreten Fall seinen Grund in einer gesundheitlichen Ausnahmesituation hat. Es ist daher nicht notwendig den genauen Grund zu kennen, um festzustellen, dass der Transport durch einen, im Gesundheitszustand der mitbeteiligten Person liegenden Grund bedingt ist. Es besteht daher zumindest mittelbares Wissen über die „Notwendigkeit eines Rettungseinsatzes oder Krankentransports“. Im vorliegenden Fall bedeutet das, dass aufgrund dessen, dass die Information, dass ein Rettungseinsatz bzw. Krankentransport in kurzem zeitlichen Abstand zur Erhebung der Daten von Namen und Adresse aus dem System „S1“ durchgeführt wurde, ein Rückschluss auf den Gesundheitszustand der mitbeteiligten Person insoweit möglich ist, als dadurch für Mitarbeiter der Beschwerdeführerin ersichtlich ist, dass ein akuter Gesundheitszustand vorgelegen haben muss. Wie oben ausgeführt sind Name und Adresse der mitbeteiligten Person für sich genommen noch keine Daten, die einen Rückschluss auf den Gesundheitszustand zulassen, jedoch das Wissen, dass die Daten aus dem System „S1“ stammen, reicht für eine mittelbare Information im Sinne der Judikatur des EuGH zu Lindenapotheke aus. Das zusätzliche Wissen, dass die mitbeteiligte Partei einen Rettungseinsatz benötigt hat, stellt dadurch ein gesundheitsbezogenes Datum dar. Zu den Angaben der Beschwerdeführerin, es seien nur Name und Adresse verarbeitet worden, ist auszuführen, dass bei der Beschwerdeführerin – wie sich auch aus der Formulierung des Spendenaufrufs schließen lässt („Sehr geehrter Herr römisch 40 , wir haben Sie vor Kurzem im Zuge eines Rettungseinsatzes betreut und hoffen, dass es Ihnen wieder besser geht.“) – zusätzlich die Information vorhanden war, dass die mitbeteiligte Person eine Leistung der Beschwerdeführerin benötigte. Daraus lässt sich nicht nur ableiten, dass die Abteilung für Spendenaufrufe wusste, dass der Gesundheitszustand der mitbeteiligten Person zuvor „schlecht“ oder zumindest von der Norm abweichend gewesen ist, andernfalls sie keine Besserungswünsche ausgesprochen hätte, sondern auch, dass diese sogar aufgrund der vorliegenden Daten eine Assoziation zum Gesundheitszustand der mitbeteiligten Person herstellen konnte. Wenn die Beschwerdeführerin vorbringt, dass die Abteilung für Spendenaufrufe den Grund für den Transport nicht kenne so ist dem entgegenzuhalten, dass bereits der zeitnahe Transport mit Fahrzeugen der Beschwerdeführerin im konkreten Fall seinen Grund in einer gesundheitlichen Ausnahmesituation hat. Es ist daher nicht notwendig den genauen Grund zu kennen, um festzustellen, dass der Transport durch einen, im Gesundheitszustand der mitbeteiligten Person liegenden Grund bedingt ist. Es besteht daher zumindest mittelbares Wissen über die „Notwendigkeit eines Rettungseinsatzes oder Krankentransports“. Der Begriff „Krankentransport“ bzw. der von der Beschwerdeführerin im Spendenaufruf verwendete Begriff „Rettungseinsatz“ impliziert das Vorliegen eines vom Normbereich abweichenden Zustandes, der die Gesundheit der mitbeteiligten Partei betrifft. Ähnlich verhält es sich mit der bloßen Erwähnung, dass jemand krank ist (vgl. der Standpunkt der damaligen Art 29-Datenschutzgruppe, Annex zum Brief vom 5.2.2015 „Health Data in apps and devices“, 2). Trotz der Tatsache, dass keine genaue Feststellung zum Vorliegen einer bestimmten Krankheit oder einer bestimmten Verletzung getroffen werden kann, lässt sich mittels der verarbeiteten Daten zumindest ein mittelbarer Rückschluss darauf bilden, dass es der mitbeteiligten Person zu einem Zeitpunkt so schlecht ging, dass sie einen Rettungseinsatz benötigte, was im Sinne der weiten Auslegung des Begriffs „Daten über Gesundheit“ bereits eine Information über den Gesundheitszustand der mitbeteiligten Person darstellt. Es mag der genaue Grund für den schlechten Gesundheitszustand zwar nicht preisgegeben worden sein, jedoch ist bereits das Datum, dass der Zustand „schlecht“ ist, eine Information, die sich auf die Gesundheit einer Person bezieht. Der Begriff „Krankentransport“ bzw. der von der Beschwerdeführerin im Spendenaufruf verwendete Begriff „Rettungseinsatz“ impliziert das Vorliegen eines vom Normbereich abweichenden Zustandes, der die Gesundheit der mitbeteiligten Partei betrifft. Ähnlich verhält es sich mit der bloßen Erwähnung, dass jemand krank ist vergleiche der Standpunkt der damaligen Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e,, Annex zum Brief vom 5.2.2015 „Health Data in apps and devices“, 2). Trotz der Tatsache, dass keine genaue Feststellung zum Vorliegen einer bestimmten Krankheit oder einer bestimmten Verletzung getroffen werden kann, lässt sich mittels der verarbeiteten Daten zumindest ein mittelbarer Rückschluss darauf bilden, dass es der mitbeteiligten Person zu einem Zeitpunkt so schlecht ging, dass sie einen Rettungseinsatz benötigte, was im Sinne der weiten Auslegung des Begriffs „Daten über Gesundheit“ bereits eine Information über den Gesundheitszustand der mitbeteiligten Person darstellt. Es mag der genaue Grund für den schlechten Gesundheitszustand zwar nicht preisgegeben worden sein, jedoch ist bereits das Datum, dass der Zustand „schlecht“ ist, eine Information, die sich auf die Gesundheit einer Person bezieht. Der Rechtsprechung des EuGH sowie den Ausführungen der Art-29-Datenschutzgruppe folgend ist es für das Vorliegen von Gesundheitsdaten nicht erforderlich, den genauen Gesundheitszustand zu kennen, oder vorliegende Krankheiten bzw. Verletzungen exakt identifizieren zu können. Es reicht vielmehr aus, dass mittels der vorliegenden Daten ein mittelbarer Schluss auf den Gesundheitszustand möglich ist (vgl. EuGH 4.11.2024, C-21/23, Lindenapotheke; Art 29-Datenschutzgruppe, Annex zum Brief vom 5.2.2015 „Health Data in apps and devices“). Wie der EuGH bereits in seiner Entscheidung vom 06.11.2003 (C-101/01, Lindqvist) feststellte, ist der Begriff „Daten über Gesundheit“ weit auszulegen, sodass er sich auf alle Informationen bezieht, die die Gesundheit einer Person unter allen Aspekten betreffen. Im Hinblick auf diese Auslegung ist auch der vage Begriff „schlecht“, wenn er dazu dient, Feststellungen zum Gesundheitszustand einer Person zu treffen, eine Information, die sich auf die Gesundheit einer Person bezieht. Da der EuGH explizit ausspricht, dass „alle Informationen“, die sich auf die Gesundheit einer Person beziehen, unter den Begriff „Daten über Gesundheit“ zu subsumieren sind, ist es nicht nachvollziehbar, warum hier eine Ausnahme gemacht werden soll. Der Rechtsprechung des EuGH sowie den Ausführungen der Art-29-Datenschutzgruppe folgend ist es für das Vorliegen von Gesundheitsdaten nicht erforderlich, den genauen Gesundheitszustand zu kennen, oder vorliegende Krankheiten bzw. Verletzungen exakt identifizieren zu können. Es reicht vielmehr aus, dass mittels der vorliegenden Daten ein mittelbarer Schluss auf den Gesundheitszustand möglich ist vergleiche EuGH 4.11.2024, C-21/23, Lindenapotheke; Artikel 29 -, D, a, t, e, n, s, c, h, u, t, z, g, r, u, p, p, e,, Annex zum Brief vom 5.2.2015 „Health Data in apps and devices“). Wie der EuGH bereits in seiner Entscheidung vom 06.11.2003 (C-101/01, Lindqvist) feststellte, ist der Begriff „Daten über Gesundheit“ weit auszulegen, sodass er sich auf alle Informationen bezieht, die die Gesundheit einer Person unter allen Aspekten betreffen. Im Hinblick auf diese Auslegung ist auch der vage Begriff „schlecht“, wenn er dazu dient, Feststellungen zum Gesundheitszustand einer Person zu treffen, eine Information, die sich auf die Gesundheit einer Person bezieht. Da der EuGH explizit ausspricht, dass „alle Informationen“, die sich auf die Gesundheit einer Person beziehen, unter den Begriff „Daten über Gesundheit“ zu subsumieren sind, ist es nicht nachvollziehbar, warum hier eine Ausnahme gemacht werden soll. Insgesamt sind daher im gegebenen Zusammenhang der Name und das Geburtsdatum als Datum besonderer Kategorie anzusehen. 3.3.
2. Zur Weiterverarbeitung von Daten und Daten besonderer Kategorie: Die Beschwerdeführerin finanziert sich durch die Verrechnung mit dem Sozialversicherungsträger sowie durch Spenden. Wenn nun die Beschwerdeführerin die Daten der Arten Name und Adresse als Daten für das Erbringen einer Transportleistung, welche mit Einwilligung erfolgt oder im lebenswichtigen Interesse der betroffenen Person stehen kann, verarbeitet, liegt schon in der weiteren Aufbewahrung von Daten im Sinne des Sanitätsgesetzes oder zum Zwecke der Verrechnung eine Zweckänderung vor. Der zuvor geschilderte Grundsatz der Zweckbindung wird normativ durchbrochen durch die (zweckändernde) Weiterverarbeitung für kompatible Zwecke, die im Wortlaut von Art 5 Abs 1 lit b bereits angesprochen („nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet“) und in Art 6 Abs 4 näher ausgestaltet ist.Wenn nun die Beschwerdeführerin die Daten der Arten Name und Adresse als Daten für das Erbringen einer Transportleistung, welche mit Einwilligung erfolgt oder im lebenswichtigen Interesse der betroffenen Person stehen kann, verarbeitet, liegt schon in der weiteren Aufbewahrung von Daten im Sinne des Sanitätsgesetzes oder zum Zwecke der Verrechnung eine Zweckänderung vor. Der zuvor geschilderte Grundsatz der Zweckbindung wird normativ durchbrochen durch die (zweckändernde) Weiterverarbeitung für kompatible Zwecke, die im Wortlaut von Artikel 5, Absatz eins, Litera b, bereits angesprochen („nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet“) und in Artikel 6, Absatz 4, näher ausgestaltet ist. Liegt wie verfahrensgegenständlich keine Einwilligung oder gesetzliche Erlaubnisnorm (zum Verarbeiten von Daten zu einem Spendenaufruf) vor, muss der Verantwortliche überprüfen, ob eine Vereinbarkeit des gewünschten Sekundärzwecks mit demjenigen, für den die Daten ursprünglich erhoben wurden (Primärzweck), vorliegt. Dazu finden sich in Art 6 Abs 4 fünf Kriterien, anhand derer der Verantwortliche einen „Kompatibilitätstest“ (auch Kompatibilitätsprüfung genannt) durchzuführen hat, mit dem die Vereinbarkeit (Kompatibilität) der Weiterverarbeitung von bereits vorhandenen Daten für den Sekundärzweck geprüft wird: Liegt wie verfahrensgegenständlich keine Einwilligung oder gesetzliche Erlaubnisnorm (zum Verarbeiten von Daten zu einem Spendenaufruf) vor, muss der Verantwortliche überprüfen, ob eine Vereinbarkeit des gewünschten Sekundärzwecks mit demjenigen, für den die Daten ursprünglich erhoben wurden (Primärzweck), vorliegt. Dazu finden sich in Artikel 6, Absatz 4, fünf Kriterien, anhand derer der Verantwortliche einen „Kompatibilitätstest“ (auch Kompatibilitätsprüfung genannt) durchzuführen hat, mit dem die Vereinbarkeit (Kompatibilität) der Weiterverarbeitung von bereits vorhandenen Daten für den Sekundärzweck geprüft wird:
3. Jede Verbindung zwischen dem Erhebungszweck und den Zwecken der beabsichtigten Weiterverarbeitung,
4. den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden,
5. die Art der personenbezogenen Daten, insbesondere ob Daten

Art 9oder Art 10 verarbeitet werden,3.

die Art der personenbezogenen Daten, insbesondere ob Daten

Artikel 9, oder Artikel 10, verarbeitet werden, 4.

die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen und 5. das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören können. ErwGr 50 S 6 führt dazu wie folgt aus: „Um festzustellen, ob ein Zweck der Weiterverarbeitung mit dem Zweck, für den die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist, sollte der Verantwortliche nach Einhaltung aller Anforderungen für die Rechtmäßigkeit der ursprünglichen Verarbeitung ua prüfen, ob ein Zusammenhang zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung besteht, in welchem Kontext die Daten erhoben wurden, insb die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, in Bezug auf die weitere Verwendung dieser Daten, um welche Art von personenbezogenen Daten es sich handelt, welche Folgen die beabsichtigte Weiterverarbeitung für die betroffenen Personen hat und ob sowohl beim ursprünglichen als auch beim beabsichtigten Weiterverarbeitungsvorgang geeignete Garantien bestehen.“ Anhand dieser (nur demonstrativ aufgezählten) Kriterien, die auf einem Vorschlag der damaligen Artikel-29-Datenschutzgruppe fußen, welcher für die Auslegung der Kompatibilitätskriterien heranzuziehen ist, soll ein Verantwortlicher, also die Beschwerdeführerin, feststellen können, ob der Zweck der Weiterverarbeitung mit dem Zweck, für den die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar (kompatibel) ist. Liegt nach dieser Prüfung eine kompatible Zweckänderung vor, ist (nach überwiegender Ansicht) im Bereich von Daten, die nicht dem Regelregime des Art. 9 DSGVO unterliegen, keine gesonderte Rechtsgrundlage mehr erforderlich als diejenige, für die (ursprüngliche) Datenerhebung, eine Kompatibilität privilegiert somit die vereinbare Weiterverarbeitung, eine (gesonderte) Zulässigkeitsprüfung

Art 6Abs 1 entfällt.

Dies entspricht auch dem Sinn und Zweck des Konzepts der Zweckvereinbarkeit, nämlich eine moderate Zweckänderung nach einer Kompatibilitätsprüfung auf Grundlage der ursprünglichen Erlaubnis zuzulassen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 6 DSGVO (Stand 1.10.2025, rdb.at)).Anhand dieser (nur demonstrativ aufgezählten) Kriterien, die auf einem Vorschlag der damaligen Artikel-29-Datenschutzgruppe fußen, welcher für die Auslegung der Kompatibilitätskriterien heranzuziehen ist, soll ein Verantwortlicher, also die Beschwerdeführerin, feststellen können, ob der Zweck der Weiterverarbeitung mit dem Zweck, für den die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar (kompatibel) ist. Liegt nach dieser Prüfung eine kompatible Zweckänderung vor, ist (nach überwiegender Ansicht) im Bereich von Daten, die nicht dem Regelregime des Artikel 9, DSGVO unterliegen, keine gesonderte Rechtsgrundlage mehr erforderlich als diejenige, für die (ursprüngliche) Datenerhebung, eine Kompatibilität privilegiert somit die vereinbare Weiterverarbeitung, eine (gesonderte) Zulässigkeitsprüfung

Artikel 6, Absatz eins, entfällt.

Dies entspricht auch dem Sinn und Zweck des Konzepts der Zweckvereinbarkeit, nämlich eine moderate Zweckänderung nach einer Kompatibilitätsprüfung auf Grundlage der ursprünglichen Erlaubnis zuzulassen (Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Artikel 6, DSGVO (Stand 1.10.2025, rdb.at)). Im Hinblick auf die verfahrensgegenständliche Datenverarbeitung im System „S1“ und NAV verfügt die Beschwerdeführerin daher – soweit ersichtlich wird dies von Verfahrensparteien auch nicht bestritten – über ein abgestuftes System im Sinne des Prinzips „need to know“ in welchem Daten, welche nicht unter Art. 9 DSGVO fallen, (auch) ohne Zustimmung des Beschwerdeführers grundsätzlich weiterverarbeitet werden dürfen:Im Hinblick auf die verfahrensgegenständliche Datenverarbeitung im System „S1“ und NAV verfügt die Beschwerdeführerin daher – soweit ersichtlich wird dies von Verfahrensparteien auch nicht bestritten – über ein abgestuftes System im Sinne des Prinzips „need to know“ in welchem Daten, welche nicht unter Artikel 9, DSGVO fallen, (auch) ohne Zustimmung des Beschwerdeführers grundsätzlich weiterverarbeitet werden dürfen: Um eine Verrechnung mit dem jeweils zuständigen Versicherungsträger zu veranlassen sowie für die Dokumentation der Sanitätertätigkeiten verfügt die Beschwerdeführerin über eine Gesetzesgrundlage; darüber hinaus finanziert sich das Angebot der Beschwerdeführerin – wie bereits ausgeführt – zu einem erheblichen Teil auch aus Spenden. Wenn die Beschwerdeführerin zur Aufrechterhaltung dieser im Allgemeininteresse stehenden Dienste „Werbung“ mach, kann man nicht davon ausgehen, dass die „Weiterverarbeitung“ zum Zwecke des Spendenaufrufs nicht mit dem Primärzweck vereinbar wäre. Diese Verarbeitung weicht nicht von den legitimen Erwartungen (s dazu auch unter 3.3.6.) hinsichtlich der weiteren Verwendung ihrer Daten ab (vgl. EuGH vom 20.10.2022, C-77/21 Digi).Um eine Verrechnung mit dem jeweils zuständigen Versicherungsträger zu veranlassen sowie für die Dokumentation der Sanitätertätigkeiten verfügt die Beschwerdeführerin über eine Gesetzesgrundlage; darüber hinaus finanziert sich das Angebot der Beschwerdeführerin – wie bereits ausgeführt – zu einem erheblichen Teil auch aus Spenden. Wenn die Beschwerdeführerin zur Aufrechterhaltung dieser im Allgemeininteresse stehenden Dienste „Werbung“ mach, kann man nicht davon ausgehen, dass die „Weiterverarbeitung“ zum Zwecke des Spendenaufrufs nicht mit dem Primärzweck vereinbar wäre. Diese Verarbeitung weicht nicht von den legitimen Erwartungen (s dazu auch unter 3.3.6.) hinsichtlich der weiteren Verwendung ihrer Daten ab vergleiche EuGH vom 20.10.2022, C-77/21 Digi). Wie schon zuvor geschildert, verarbeitet die Beschwerdeführerin aber auch Daten

Art. 9

DSGVO zu Werbezwecken: Wie schon zuvor geschildert, verarbeitet die Beschwerdeführerin aber auch Daten

Artikel 9

, DSGVO zu Werbezwecken: Das Verhältnis zwischen Art 6 und Art 9 ist in der bislang dazu erschienenen Literatur und der Judikatur nicht restlos geklärt, obwohl dies insbesondere für die Frage der Anwendbarkeit von Art 6 Abs 4 auf die (zweckändernde) Weiterverarbeitung sensibler Daten von Bedeutung ist. So meint Korge in Gierschmann/​Schlender/​Stentzel/​Veil, DS-GVO Art 9 Rz 3, dass es unklar sei, ob Art 9 eine eigene Rechtsgrundlage darstelle oder ob Art 9 nur Art 6 ergänze und daher immer im Zusammenhang mit diesem zu lesen sei; es spreche aber viel dafür, dass Art 9 eine eigene Rechtsgrundlage darstelle. Schiff in Ehmann/​Selmayr, DS-GVO 2 Art 9 Rz 10 geht von einer abschließenden Regelung der Verarbeitung sensibler Daten durch Art 9 aus, eine Weiterverarbeitung (allein) auf Grundlage des Art 6 Abs 4 sei daher ausgeschlossen. Laut Petri in Simitis/​Hornung/​Spiecker, Datenschutzrecht Art 9 Rz 2 und 26 hingegen enthalte Art 9 Abs 2 keine besonderen Erlaubnistatbestände, sondern lediglich Voraussetzungen für Ausnahmen vom Verarbeitungsverbot des Abs 1 und sei daher nicht anstelle von Art 6 Abs 1, sondern zusätzlich zu beachten. Für die zulässige zweckändernde Weiterverarbeitung sensibler Daten müssten demnach ein Erlaubnistatbestand nach Art 6 Abs 1, ein Ausnahmetatbestand nach Art 9 Abs 2 und die Voraussetzungen für eine Zweckänderung nach Art 6 Abs 4 kumulativ erfüllt sein.Das Verhältnis zwischen Artikel 6 und Artikel 9, ist in der bislang dazu erschienenen Literatur und der Judikatur nicht restlos geklärt, obwohl dies insbesondere für die Frage der Anwendbarkeit von Artikel 6, Absatz 4, auf die (zweckändernde) Weiterverarbeitung sensibler Daten von Bedeutung ist. So meint Korge in Gierschmann/​Schlender/​Stentzel/​Veil, DS-GVO Artikel 9, Rz 3, dass es unklar sei, ob Artikel 9, eine eigene Rechtsgrundlage darstelle oder ob Artikel 9, nur Artikel 6, ergänze und daher immer im Zusammenhang mit diesem zu lesen sei; es spreche aber viel dafür, dass Artikel 9, eine eigene Rechtsgrundlage darstelle. Schiff in Ehmann/​Selmayr, DS-GVO 2 Artikel 9, Rz 10 geht von einer abschließenden Regelung der Verarbeitung sensibler Daten durch Artikel 9, aus, eine Weiterverarbeitung (allein) auf Grundlage des Artikel 6, Absatz 4, sei daher ausgeschlossen. Laut Petri in Simitis/​Hornung/​Spiecker, Datenschutzrecht Artikel 9, Rz 2 und 26 hingegen enthalte Artikel 9, Absatz 2, keine besonderen Erlaubnistatbestände, sondern lediglich Voraussetzungen für Ausnahmen vom Verarbeitungsverbot des Absatz eins und sei daher nicht anstelle von Artikel 6, Absatz eins,, sondern zusätzlich zu beachten. Für die zulässige zweckändernde Weiterverarbeitung sensibler Daten müssten demnach ein Erlaubnistatbestand nach Artikel 6, Absatz eins,, ein Ausnahmetatbestand nach Artikel 9, Absatz 2 und die Voraussetzungen für eine Zweckänderung nach Artikel 6, Absatz 4, kumulativ erfüllt sein. Nach Ansicht des erkennenden Senats ist der Meinung von Kastelitz/Hötzendorfer/Tschohl in Knyrim, DatKomm Art 9 DSGVO (Stand 7.5.2020, rdb.at)zu folgen und handelt es sich bei Art 9 um eine bereichsspezifische Regelung für die Verarbeitung sensibler Daten, die eine eigene Rechtsgrundlage für deren Verarbeitung bildet – was im Übrigen auch dem bisherigen österreichischen Rechtsverständnis zu §§ 8 und 9 DSG 2000 (und damit Art 7 und 8 DS-RL), entsprach, fehlt es zwar in Art 9 an einem expliziten Verweis auf Art 6 Abs 4 DSGVO. Jedoch erwähnt Art 6 Abs 4 lit c DSGVO ausdrücklich die Art der personenbezogenen Daten, insbesondere, ob besondere Kategorien personenbezogener Daten

Art 9

DSGVO verarbeitet werden, als ein Kriterium für den vor einer geplanten zweckändernden Weiterverwendung durchzuführenden „Kompatibilitätstest“. Damit ist faktisch vorausgesetzt, dass eine auch solche Daten betreffende zweckändernde Verarbeitung grundsätzlich zulässig sein soll (vgl dazu Schulz in Gola, DS-GVO 2 Art 9 Rz 7 unter Hinweis auf ErwGr 51; idS auch Laue/​Nink/​Kremer, Das neue Datenschutzrecht in der Praxis

Artikel 9

, DSGVO verarbeitet werden, als ein Kriterium für den vor einer geplanten zweckändernden Weiterverwendung durchzuführenden „Kompatibilitätstest“. Damit ist faktisch vorausgesetzt, dass eine auch solche Daten betreffende zweckändernde Verarbeitung grundsätzlich zulässig sein soll vergleiche dazu Schulz in Gola, DS-GVO 2 Artikel 9, Rz 7 unter Hinweis auf ErwGr 51; idS auch Laue/​Nink/​Kremer, Das neue Datenschutzrecht in der Praxis