RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum25.03.2026 GeschäftszahlW605 2297537-1 Spruch, W605 2297537-1/8E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch die Richte

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. Text

Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

1. Mit Eingabe vom 06.03.2024 erhob XXXX (in der Folge: mitbeteiligte Partei) eine Datenschutzbeschwerde gegen die XXXX (in der Folge: Beschwerdeführerin) wegen einer Verletzung im Recht auf Geheimhaltung und brachte dazu zusammengefasst vor, sowohl am 04.09.2023 als auch am 11.09.2023 einen Lebenslauf an die Beschwerdeführerin übermittelt zu haben. Ende Februar 2024 habe die mitbeteiligte Partei merkbar viele Spamanrufe erhalten; am 04.03.2024 sei sie zudem von ihrer neuen Chefin, welche sich im Zuge der Einstellung über die mitbeteiligte Partei informieren habe wollen, darauf aufmerksam gemacht worden, dass ihre Daten (im Internet) öffentlich einsehbar seien und sogar ihr ganzer Lebenslauf heruntergeladen werden könne. Daraufhin habe die mitbeteiligte Partei die Beschwerdeführerin kontaktiert und um Geheimhaltung ihrer Daten beziehungsweise um Behebung des Datenlecks gebeten. Die zum gegenwärtigen Zeitpunkt einsehbaren Daten beinhielten neben dem Namen der mitbeteiligten Partei ihre E-Mail-Adresse sowie ihre Telefonnummer und die Adresse der mitbeteiligten Partei. Jedoch sei der Zugriff auf die Website und damit auch auf ihren Lebenslauf nunmehr nicht mehr möglich und die Website nun passwortgeschützt, sobald man den Link anklicke. Die Vorschau der Websuche, welche ihre Daten enthalte, sei jedoch nach wie vor einsehbar.
2. Mit Eingabe vom 06.03.2024 erhob römisch 40 (in der Folge: mitbeteiligte Partei) eine Datenschutzbeschwerde gegen die römisch 40 (in der Folge: Beschwerdeführerin) wegen einer Verletzung im Recht auf Geheimhaltung und brachte dazu zusammengefasst vor, sowohl am 04.09.2023 als auch am 11.09.2023 einen Lebenslauf an die Beschwerdeführerin übermittelt zu haben. Ende Februar 2024 habe die mitbeteiligte Partei merkbar viele Spamanrufe erhalten; am 04.03.2024 sei sie zudem von ihrer neuen Chefin, welche sich im Zuge der Einstellung über die mitbeteiligte Partei informieren habe wollen, darauf aufmerksam gemacht worden, dass ihre Daten (im Internet) öffentlich einsehbar seien und sogar ihr ganzer Lebenslauf heruntergeladen werden könne. Daraufhin habe die mitbeteiligte Partei die Beschwerdeführerin kontaktiert und um Geheimhaltung ihrer Daten beziehungsweise um Behebung des Datenlecks gebeten. Die zum gegenwärtigen Zeitpunkt einsehbaren Daten beinhielten neben dem Namen der mitbeteiligten Partei ihre E-Mail-Adresse sowie ihre Telefonnummer und die Adresse der mitbeteiligten Partei. Jedoch sei der Zugriff auf die Website und damit auch auf ihren Lebenslauf nunmehr nicht mehr möglich und die Website nun passwortgeschützt, sobald man den Link anklicke. Die Vorschau der Websuche, welche ihre Daten enthalte, sei jedoch nach wie vor einsehbar. Zum Beweis ihres Vorbringens legte die mitbeteiligte Partei ihrer Datenschutzbeschwerde den Screenshot eines E-Mails an die Beschwerdeführerin vom 04.03.2024, den Screenshot eines PDF-Links, sowie Screenshot eingehender Anrufe bei.
3. Mit Eingabe vom 22.03.2024 nahm die Beschwerdeführerin Stellung und brachte zusammengefasst vor, dass die mitbeteiligte Partei im Rahmen ihres Bewerbungsprozesses ihre Daten übermittelt habe. Die mitbeteiligte Partei habe die Beschwerdeführerin am 05.03.2024 über das vorliegende Problem informiert, woraufhin die Beschwerdeführerin ihre IT-Abteilung beauftragt habe, die Angelegenheit zu überprüfen. Es habe nicht nachvollzogen werden können, dass ein Lebenslauf in der Vergangenheit abrufbar gewesen sei. Auch habe keine Verbindung zwischen den Spam-Anrufen und dem vorliegenden Fall hergestellt werden können. Die IT-Abteilung habe mitgeteilt, dass sämtliche Daten bereits gelöscht worden seien und die Problematik von der Seite „Bing“ ausgegangen sei.
4. Mit beauftragter ergänzender Stellungnahme vom 11.04.2024 brachte die Beschwerdeführerin vor, dass sie die Seite XXXX betreibe. Leute könnten sich über ein Web-Formular oder via E-Mail bewerben. Die Beschwerdeführerin wisse nicht, woher die Daten kommen „und warum, ob dies von den Geräten der Personen die sich beworben haben“ komme. Des Weiteren sei der Vorfall für sie auch nicht nachvollziehbar, da die Beschwerdeführerin hunderte Bewerbungen bekommen habe und ihr nur drei Fälle bekannt seien. Im Anhang übermittelte die Beschwerdeführerin eine Abbildung des Speicherprozesses der Bewerberdaten. In englischer Sprache wurde zudem zusammengefasst ausgeführt, die Anwendung werde in PHP programmiert; Angaben zu den Datenverarbeitungsschritten bzw. zum Verarbeitungsverzeichnis würden nicht gemacht, da die Frage nicht vollständig verstanden werde, und die Speicherung aller Daten erfolge auf Servern von Amazon Web Services (AWS).
5. Mit beauftragter ergänzender Stellungnahme vom 11.04.2024 brachte die Beschwerdeführerin vor, dass sie die Seite römisch 40 betreibe. Leute könnten sich über ein Web-Formular oder via E-Mail bewerben. Die Beschwerdeführerin wisse nicht, woher die Daten kommen „und warum, ob dies von den Geräten der Personen die sich beworben haben“ komme. Des Weiteren sei der Vorfall für sie auch nicht nachvollziehbar, da die Beschwerdeführerin hunderte Bewerbungen bekommen habe und ihr nur drei Fälle bekannt seien. Im Anhang übermittelte die Beschwerdeführerin eine Abbildung des Speicherprozesses der Bewerberdaten. In englischer Sprache wurde zudem zusammengefasst ausgeführt, die Anwendung werde in PHP programmiert; Angaben zu den Datenverarbeitungsschritten bzw. zum Verarbeitungsverzeichnis würden nicht gemacht, da die Frage nicht vollständig verstanden werde, und die Speicherung aller Daten erfolge auf Servern von Amazon Web Services (AWS).
6. Mit Schreiben vom 12.04.2024 forderte die belangte Behörde die Beschwerdeführerin auf, bekannt zu geben, ob auch Bewerbungsunterlagen anderer Personen online abrufbar gewesen seien, sowie, bekannt zu geben, ob sie kürzlich einem Sicherheitsvorfall unterlegen sei. Die Beschwerdeführerin äußerte sich dazu innerhalb der vorgesehenen Frist nicht.
7. Mit Schreiben vom 13.05.2024 urgierte die belangte Behörde bei der Beschwerdeführerin.
8. Mit Bescheid vom 25.06.2024 gab die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung

§ 1Abs.

1 DSG verletzt habe, indem sie den Lebenslauf der mitbeteiligten Partei im Februar 2024 auf ihrer Website XXXX veröffentlicht habe und dieser in der Folge über eine Bing-Suche bei Namensabfrage der mitbeteiligten mittels PDF-Link abrufbar gewesen sei.6. Mit Bescheid vom 25.06.2024 gab die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung

Paragraph eins, Absatz eins, DSG verletzt habe, indem sie den Lebenslauf der mitbeteiligten Partei im Februar 2024 auf ihrer Website römisch 40 veröffentlicht habe und dieser in der Folge über eine Bing-Suche bei Namensabfrage der mitbeteiligten mittels PDF-Link abrufbar gewesen sei.

1. Gegen den Bescheid der belangten Behörde erhob die Beschwerdeführerin fristgerecht Beschwerde an das Bundesverwaltungsgericht und brachte darin im Wesentlichen vor, die belangte Behörde stütze die Erfassung des Bescheides auf Indizien, die auf die mangelnde Kooperationsbereitschaft der Beschwerdeführerin zurückzuführen seien, obwohl diese zu jederzeit kooperationsbereit gewesen sei und offensichtlich die Zustellung der Aufforderungen an sie nicht richtig erfolgt seien.
2. Am 09.08.2024 legte die belangte Behörde die Bescheidbeschwerde unter Anschluss des Verfahrensaktes dem Bundesverwaltungsgericht vor und stellte den Antrag, die Beschwerde abzuweisen.
3. Mit Schreiben vom 20.08.2024 hat das Bundesverwaltungsgericht der mitbeteiligten Partei die Bescheidbeschwerde der Beschwerdeführerin im Rahmen des Parteiengehörs zur Stellungnahme vorgelegt. Es erfolgte keine Stellungnahme. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
4. Feststellungen Das Bundesverwaltungsgericht legt seiner Entscheidung den unter Punkt I. dargestellten Sachverhalt zugrunde. Das Bundesverwaltungsgericht legt seiner Entscheidung den unter Punkt römisch eins. dargestellten Sachverhalt zugrunde. 1.
5. Insbesondere wird festgestellt: 1.2.
6. Die Beschwerdeführerin ist eine Gesellschaft mit beschränkter Haftung (juristische Person), die das Gewerbe „Organisation von Veranstaltungen, Märkten und Messen (Eventmanagement)“, mit dem Geschäftszweig „Planung und Errichtung von Freizeitbetrieben“, beitreibt. Sie betreibt die Website XXXX .Sie betreibt die Website römisch 40 . 1.2.
7. Die mitbeteiligte Partei bewarb sich im September 2023 bei der Beschwerdeführerin um eine Anstellung. Im Zuge der Bewerbung übermittelte die mitbeteiligte Partei ihren Lebenslauf an die Beschwerdeführerin. Darin enthalten waren insbesondere Angaben zum Namen, dem Geburtsdatum, der Staatsbürgerschaft, dem Familienstand, der Wohnanschrift, der Telefonnummer und der E-Mail-Adresse sowie zu beruflichen Erfahrungen und weiteren Kenntnissen der mitbeteiligten Partei. 1.2.
8. Im Februar 2024 war auf der Website XXXX der Lebenslauf der mitbeteiligten Partei veröffentlicht. 1.2.
9. Im Februar 2024 war auf der Website römisch 40 der Lebenslauf der mitbeteiligten Partei veröffentlicht. Daraufhin schien auf der Websuchmaschine Microsoft Bing unter der Internetadresse https://www.bing.com/ bei einer Suche nach dem Namen der mitbeteiligten Partei ein Link zur Website der Beschwerdeführerin als Suchergebnis auf, unter dem als Vorschau Angaben aus dem Lebenslauf der mitbeteiligten Partei (bestehend aus deren Geburtsdatum, der Wohnanschrift, der Telefonnummer und der E-Mail-Adresse) öffentlich einsehbar waren. Bei einem Anklicken des Links war der gesamte, in 1.2.
10. genannte Lebenslauf der mitbeteiligten Partei auf der Website der Beschwerdeführerin für jedermann als PDF-Dokument abrufbar bzw. einsehbar. 1.2.
11. Zum Zeitpunkt der Erlassung des Bescheides der belangten Behörde war der Link samt PDF bereits nicht mehr öffentlich einsehbar. 1.2.
12. Es kann nicht festgestellt werden, dass die mitbeteiligte Partei aufgrund der Veröffentlichung ihres Lebenslaufs auf der Website der Beschwerdeführerin Ende Februar 2024 merkbar viele Spamanrufe erhalten hat.
13. Beweiswürdigung 2.
14. Beweise wurden erhoben durch Einsicht in den Verwaltungsakt der belangten Behörde und in den Gerichtsakt des Bundesverwaltungsgerichts. Beweiswürdigend wurde hierzu Folgendes erwogen: 2.
15. Zu den einzelnen Sachverhaltsfeststellungen: 2.2.
16. Die unter Pkt. 1.2.
17. getroffenen – und unbestrittenen – Feststellungen zur Rechtsform der Beschwerdeführerin und dem von ihr ausgeübten Gewerbe wurden bereits seitens der belangten Behörde auf Grundlage einer amtswegig durchgeführten GISA- sowie Firmenbuchabfrage getroffen und ihrem Bescheid zugrunde gelegt. Der Umstand, wonach die Beschwerdeführerin Betreiberin der Website XXXX ist, ergibt sich aus ihrer ergänzenden Stellungnahme vom 11.04.2024 und wurde daher ebenfalls bereits im Bescheid entsprechend festgestellt und konnte durch eine amtswegige Einsichtnahme auf der genannten Webseite durch das Bundesverwaltungsgericht am 18.03.2026 bestätigt werden. 2.2.
18. Die unter Pkt. 1.2.
19. getroffenen – und unbestrittenen – Feststellungen zur Rechtsform der Beschwerdeführerin und dem von ihr ausgeübten Gewerbe wurden bereits seitens der belangten Behörde auf Grundlage einer amtswegig durchgeführten GISA- sowie Firmenbuchabfrage getroffen und ihrem Bescheid zugrunde gelegt. Der Umstand, wonach die Beschwerdeführerin Betreiberin der Website römisch 40 ist, ergibt sich aus ihrer ergänzenden Stellungnahme vom 11.04.2024 und wurde daher ebenfalls bereits im Bescheid entsprechend festgestellt und konnte durch eine amtswegige Einsichtnahme auf der genannten Webseite durch das Bundesverwaltungsgericht am 18.03.2026 bestätigt werden. 2.2.
20. Die unter Pkt. 1.2.
21. getroffenen Feststellungen ergeben sich aus den diesbezüglich im Wesentlichen gleichlautenden und unbestritten gebliebenen Vorbringen der beiden Verfahrensparteien im Rahmen des behördlichen Verfahrens. 2.2.
22. Die Feststellungen zu Pkt. 1.2.
23. fußen in erster Linie auf den plausiblen Angaben der mitbeteiligten Partei bereits in ihrer verfahrenseinleitenden Datenschutzbeschwerde, die schon von der belangten Behörde im Rahmen des durchgeführten Ermittlungsverfahrens im Rahmen ihrer freien Beweiswürdigung als glaubhaft erachtet wurden, insbesondere vor dem Hintergrund, dass die Beschwerdeführerin in ihrer Stellungnahme ausgeführt habe, dass sie nicht wisse, woher die Daten kämen und warum; so schließe die Beschwerdeführerin auch nicht explizit das Vorhandensein einer Sicherheitslücke aus, sondern führe vielmehr sogar selbst aus, dass ihr drei weitere Fälle bekannt seien, in welchen Bewerberdaten öffentlich einsehbar gewesen seien. Zum anderen habe sich die Beschwerdeführerin trotz mehrmaliger Aufforderungen zur Stellungnahme zu diesem Punkt nicht mehr geäußert und sei das Vorbringen der mitbeteiligten Partei daher auch mangels Kooperation der Beschwerdeführerin in diesem Punkt für wahr zu erachten und den Feststellungen zugrunde zu legen gewesen. Wenn die Beschwerdeführerin dazu in ihrer Bescheidbeschwerde entgegnet, dass es sich bei den Übermittlungen der mitbeteiligten Partei ebenso wie bei den Ausführungen zu ihrer mangelnden Kooperationsbereitschaft bloß um „Indizien“ handle, wobei Letzteres – auch unter Verweis auf offensichtlich nicht richtig an sie erfolgte Zustellungen – bestritten wird, gelingt es ihr dadurch nicht, dem bereits von der belangten Behörde festgestellten Sachverhalt substantiiert entgegenzutreten und ihn somit zu entkräften: Im Gegensatz zur Beschwerdeführerin hat die mitbeteiligte Partei ihr Vorbringen, wonach ihr Lebenslauf bei einer Websuche öffentlich einsehbar sei, ja gerade nicht bloß behauptet, sondern durch entsprechende Screenshots belegt, aus denen zweifelsfrei hervorgeht, dass das darauf angezeigte Suchergebnis der Websuchmaschine „Microsoft Bing“ bei einer Suche nach dem Namen der mitbeteiligten Partei, bei dem die genannten Angaben aus dem Lebenslauf der mitbeteiligten Partei aufscheinen, von der Website der Beschwerdeführerin stammen, auf die dabei verlinkt wurde. Auch konnte zweifelsfrei belegt werden, dass zuvor bereits die spätere Vorgesetzte der mitbeteiligten Partei am 04.03.2024 – wie später die mitbeteiligte Partei selbst zur Überprüfung und Beweissicherung – den gesamten Lebenslauf der mitbeteiligten Partei als PDF-Dokument auf der Website der Beschwerdeführerin frei einsehen konnten. Schon alleine die zeitliche Abfolge, dass nach Übermittlung des Lebenslaufs an die Beschwerdeführerin am 04.09.2023 und am 11.09.2023 in weiterer Folge im Frühjahr 2024 auf deren Website öffentlich einsehbar und samt Vorschau bei einer Websuche für jedermann auffindbar war, stellen keinesfalls bloß „Indizien“ dar, sondern lassen im Wesentlichen keinen anderen Schluss zu, als dass es zu einer Veröffentlichung durch die Beschwerdeführerin gekommen ist, zumal sie selbst vorbrachte, dass ihr drei (solcher) Fälle bekannt seien, in welchen Bewerberdaten auf der von ihr betriebenen Webseite offenbar öffentlich einsehbar gewesen seien. Wenn die Beschwerdeführerin in ihrer Bescheidbeschwerde nunmehr ausführt, sie hätte gerne bei ihrer IT-Abteilung nachforschen können, wie die Angelegenheit mit den „angeblichen weiteren drei Fällen gemeint war“, ist ihr entgegenzuhalten, dass sie selbst in ihrer ergänzenden Stellungnahme vom 11.04.2024 die drei Fälle, die ihr bekannt seien, vorgebracht hatte und sie wissen muss, wie sie ihr eigenes Vorbringen „meint“, ohne, dass dies amtswegig weiter ergründet werden müsste. Zudem ergibt sich auch aus den weiteren (englischsprachigen) Ausführungen in der Stellungnahme, dass die Beschwerdeführerin die Cloud-Computing-Plattform AWS (Amazon Web Services), welche IT-Ressourcen wie Rechenleistung, Speicher, Datenbanken und Netzwerkservices über das Internet bereitstellt, als Server zum Speichern aller Informationen verwendet hat (arg.: „for saving all informations“), wozu demzufolge auch der sohin veröffentlichte Lebenslauf der mitbeteiligten Partei zählte. 2.2.
24. Die unter Pkt. 1.2.
25. getroffenen Feststellung ergibt sich aus einer amtswegigen Recherche durch die belangte Behörde auf https://www.bing.com/ am 25.06.2024 und ist auch zum Entscheidungszeitpunkt des gegenständlichen verwaltungsgerichtlichen Erkenntnisses noch aktuell. 2.2.
26. Die Feststellung zu Pkt. 1.2.
27. folgt dem Umstand, dass ein Zusammenhang zwischen der Veröffentlichung des Lebenslaufs der mitbeteiligten Partei auf der Website der Beschwerdeführerin und der Erhalt „merkbar vieler“ Spamanrufe durch die mitbeteiligte Partei Ende Februar 2024 im behördlichen Ermittlungsverfahren nicht nachgewiesen wurde, wobei auch keine derartigen Ermittlungsschritte oder Feststellungen im Bescheid erkennbar sind. Insbesondere ist unklar, von welchen Personen, Organisationen, Unternehmen oder dergleichen die mitbeteiligte Partei im fraglichen Zeitraum angerufen wurde, und wie viele solcher unerwünschten Anrufe sie zuvor bereits erhalten hat, was auch jeweils aus den vorgelegten Screenshots nicht hervorgeht. Weitere Ermittlungsschritte durch das Bundesverwaltungsgericht, sowie allenfalls im Rahmen einer zurückverweisenden Entscheidung durch die Behörde, sind hier schon aufgrund des lange zurückliegenden Sachverhalts nicht aussichtsreich.
28. Rechtliche Beurteilung: 3.1.

§ 27

DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen der Verletzung der Unterrichtungspflicht

§ 24Abs.

7 und der Entscheidungspflicht der Datenschutzbehörde.3.1.

Paragraph 27, DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen der Verletzung der Unterrichtungspflicht

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde.

§ 28Abs. 1 Vw

GVG haben die Verwaltungsgerichte die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Paragraph 28, Absatz eins, VwGVG haben die Verwaltungsgerichte die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

§ 28Abs. 2 Vw

GVG hat das Verwaltungsgericht über Beschwerden

Art. 130Abs.

1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.

Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden

Artikel 130

, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn (1.) der maßgebliche Sachverhalt feststeht oder (2.) die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist. 3.

1. Zu Spruchpunkt A) Abweisung der Beschwerde 3.2.
2. Maßgebliche Rechtsvorschriften und Rechtsprechung: Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idgF, lauten auszugsweise samt Überschrift wie folgt: § 1 DSG – Grundrecht auf Datenschutz – lautet auszugsweise:Paragraph eins, DSG – Grundrecht auf Datenschutz – lautet auszugsweise:

§ 35fAbs. 1 besteht.

Paragraph 35 f, Absatz eins, besteht.

§ 24Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde.

Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde. […].“ Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom

1. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutzgrund-Verordnung – DSGVO), lauten auszugsweise samt Überschrift wie folgt: Art. 4 DSGVO – Begriffsbestimmungen – lautet auszugsweise: Artikel 4, DSGVO – Begriffsbestimmungen – lautet auszugsweise: Im Sinne dieser Verordnung bezeichnet der Ausdruck:
2. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
3. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung; […]
4. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden; […]
5. „Einwilligung“ der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist; […] Art. 5 DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten – lautet:Artikel 5, DSGVO – Grundsätze für die Verarbeitung personenbezogener Daten – lautet:

Artikel 89

Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

1. c)dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
2. d)sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
3. e)in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke

Artikel 89

Absatz 1 verarbeitet werden („Speicherbegrenzung“); f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

Kapitel IX

Kapitel römisch neun.

Absatz 1 Buchstaben c und e wird festgelegt durch

1. a)Unionsrecht oder
2. b)das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt. Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel IX

. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung

Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen

Kapitel römisch neun. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. […] 3.2.2. Nach der Verfassungsbestimmung des § 1 Abs. 1 DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch

§ 1Abs.

1 DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die DSGVO und insbesondere auch die dort (in Art. 5 DSGVO) verankerten Grundsätze sowie den Grundsatz der Verhältnismäßigkeit zur Auslegung des Rechts auf Geheimhaltung zu berücksichtigen (vgl. Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz [DSG]² § 1, Rz 39 [Stand 1.2.2022, rdb.at]).3.2.2. Nach der Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Geheimhaltungsinteresse daran besteht. Der zentrale Anknüpfungspunkt, ob ein Grundrechtsanspruch

Paragraph eins, Absatz eins, DSG überhaupt besteht, ist das Vorliegen von „schutzwürdigen“ Interessen. Bei deren Prüfung ist eine Interessenabwägung vorzunehmen. Hier gilt es insbesondere die DSGVO und insbesondere auch die dort (in Artikel 5, DSGVO) verankerten Grundsätze sowie den Grundsatz der Verhältnismäßigkeit zur Auslegung des Rechts auf Geheimhaltung zu berücksichtigen vergleiche Thiele/Wagner, Praxiskommentar zum Datenschutzgesetz [DSG]² Paragraph eins,, Rz 39 [Stand 1.2.2022, rdb.at]). Das Bestehen eines solchen Interesses ist ferner ausgeschlossen, wenn Daten infolge ihrer allgemeinem Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich ist. Das Grundrecht auf Geheimhaltung bezieht sich auf sämtliche personenbezogene Informationen unabhängig von der Form ihrer Verarbeitung. Für den Geheimhaltungsanspruch kommt es daher nicht darauf an, ob die Daten „konventionell“ oder automationsunterstützt verarbeitet werden oder ob sie zur Verarbeitung in einer Datei bestimmt sind (Ennöckl in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Art 1 DSG [2021] Rz 12).Das Bestehen eines solchen Interesses ist ferner ausgeschlossen, wenn Daten infolge ihrer allgemeinem Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich ist. Das Grundrecht auf Geheimhaltung bezieht sich auf sämtliche personenbezogene Informationen unabhängig von der Form ihrer Verarbeitung. Für den Geheimhaltungsanspruch kommt es daher nicht darauf an, ob die Daten „konventionell“ oder automationsunterstützt verarbeitet werden oder ob sie zur Verarbeitung in einer Datei bestimmt sind (Ennöckl in Kahl/Khakzadeh/Schmid, Kommentar zum Bundesverfassungsrecht B-VG und Grundrechte Artikel eins, DSG [2021] Rz 12). Der datenschutzrechtliche Geheimhaltungsanspruch schützt vor sämtlichen Handlungen eines anderen, die darauf abzielen, sich Kenntnis von einer Angabe über den Betroffenen zu verschaffen. § 1 Abs. 1 DSG gewährt dem Einzelnen somit bereits einen Schutz gegen eine Ermittlung seiner Daten, dh, einen gegenüber jedermann wirksamen Abwehranspruch gegen das Erlangen von Informationen über die eigene Person ohne seine Zustimmung. Infolgedessen ist es unerheblich, auf welche Art und Weise die Ermittlung der Informationen erfolgt (Kahl/Khakzadeh/Schmid, Art 1 DSG, Rz 13).Der datenschutzrechtliche Geheimhaltungsanspruch schützt vor sämtlichen Handlungen eines anderen, die darauf abzielen, sich Kenntnis von einer Angabe über den Betroffenen zu verschaffen. Paragraph eins, Absatz eins, DSG gewährt dem Einzelnen somit bereits einen Schutz gegen eine Ermittlung seiner Daten, dh, einen gegenüber jedermann wirksamen Abwehranspruch gegen das Erlangen von Informationen über die eigene Person ohne seine Zustimmung. Infolgedessen ist es unerheblich, auf welche Art und Weise die Ermittlung der Informationen erfolgt (Kahl/Khakzadeh/Schmid, Artikel eins, DSG, Rz 13). Schließlich räumt § 1 Abs. 1 DSG einen Geheimhaltungsanspruch ieS ein, also einen Abwehranspruch gegen das ungewollte Übermitteln und Offenlegen von Daten. Gestützt auf den Geheimhaltungsanspruch kann sich der Betroffene sowohl gegen die Weiterleitung der ihn betreffenden Angaben an Dritte (unabhängig davon, ob diese vom Empfänger wiederum auf einem Datenträger gespeichert werden) als auch gegen die allgemeine Bekanntmachung und Veröffentlichung dieser Information zur Wehr setzen (Kahl/Khakzadeh/Schmid, Art. 1 DSG, Rz 15).Schließlich räumt Paragraph eins, Absatz eins, DSG einen Geheimhaltungsanspruch ieS ein, also einen Abwehranspruch gegen das ungewollte Übermitteln und Offenlegen von Daten. Gestützt auf den Geheimhaltungsanspruch kann sich der Betroffene sowohl gegen die Weiterleitung der ihn betreffenden Angaben an Dritte (unabhängig davon, ob diese vom Empfänger wiederum auf einem Datenträger gespeichert werden) als auch gegen die allgemeine Bekanntmachung und Veröffentlichung dieser Information zur Wehr setzen (Kahl/Khakzadeh/Schmid, Artikel eins, DSG, Rz 15). Entsprechend der Rechtsprechung des Europäischen Gerichtshofs (EuGH) muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48). Entsprechend der Rechtsprechung des Europäischen Gerichtshofs (EuGH) muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Artikel 5, DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Artikel 6, DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Artikel 6, DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01, Österreichischer Rundfunk ua, Rn 65; 16.12.2008, C-524/06, Huber, Rn 48). Entsprechend der Rechtsprechung des EuGH müssen Regelungen, die in die Rechte nach Art. 7 oder Art 8 EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (EuGH 06.10.2015, C-362/14 (Schrems I), Rn 91, mwH). Diese Garantien sind umso wichtiger, wenn Daten automatisationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt (EuGH 06.10.2020, in den verbundenen Rechtssachen C‑511/18, C‑512/18 und C‑520/18, Rn 132, mwH).Entsprechend der Rechtsprechung des EuGH müssen Regelungen, die in die Rechte nach Artikel 7, oder Artikel 8, EU-GRC eingreifen, klare und präzise Regeln für die Tragweite und die Anwendung einer Maßnahme vorsehen und Mindestanforderungen aufstellen, sodass die Personen, deren personenbezogene Daten betroffen sind, über ausreichende Garantien verfügen, die einen wirksamen Schutz ihrer Daten vor Missbrauchsrisiken sowie vor jedem unberechtigten Zugang zu diesen Daten und jeder unberechtigten Nutzung ermöglichen. Das Erfordernis, über solche Garantien zu verfügen, ist umso bedeutsamer, wenn die personenbezogenen Daten automatisch verarbeitet werden und eine erhebliche Gefahr des unberechtigten Zugangs zu ihnen besteht (EuGH 06.10.2015, C-362/14 (Schrems römisch eins), Rn 91, mwH). Diese Garantien sind umso wichtiger, wenn Daten automatisationsunterstützt verarbeitet werden und wenn es sich um sensible Daten handelt (EuGH 06.10.2020, in den verbundenen Rechtssachen C‑511/18, C‑512/18 und C‑520/18, Rn 132, mwH). 3.2.3. Im vorliegenden Fall ist zu prüfen, ob die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt hat, indem sie im Februar 2024 auf ihrer Website XXXX den Lebenslauf der mitbeteiligten Partei veröffentlicht hat:3.2.3. Im vorliegenden Fall ist zu prüfen, ob die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Geheimhaltung verletzt hat, indem sie im Februar 2024 auf ihrer Website römisch 40 den Lebenslauf der mitbeteiligten Partei veröffentlicht hat: 3.2.3.1. Zur Anwendbarkeit der DSGVO: Der Anwendungsbereich des § 1 Abs. 1 DSG stimmt mit dem Anwendungsbereich der DSGVO nicht in jeder Hinsicht überein (vgl. diesbezüglich etwa VwGH 27.6.2023, Ro 2020/04/0014, Rn. 17 f, bzw. - in umgekehrter Hinsicht - VwGH 01.02.2024, Ro 2021/04/0016, Rn. 24 f). Eine Verletzung im Recht auf Geheimhaltung stellt somit nicht in jedem Fall automatisch auch einen Verstoß gegen die DSGVO dar (vgl. VwGH 06.03.2024, Ro 2021/04/0030-0031).Der Anwendungsbereich des Paragraph eins, Absatz eins, DSG stimmt mit dem Anwendungsbereich der DSGVO nicht in jeder Hinsicht überein vergleiche diesbezüglich etwa VwGH 27.6.2023, Ro 2020/04/0014, Rn. 17 f, bzw. - in umgekehrter Hinsicht - VwGH 01.02.2024, Ro 2021/04/0016, Rn. 24 f). Eine Verletzung im Recht auf Geheimhaltung stellt somit nicht in jedem Fall automatisch auch einen Verstoß gegen die DSGVO dar vergleiche VwGH 06.03.2024, Ro 2021/04/0030-0031). Art. 2 DSGVO normiert den sachlichen Anwendungsbereich der DSGVO;

Abs. 1 leg.cit. gilt die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Bereits das Hochladen des Lebenslaufs durch die Beschwerdeführerin ins Internet sowie die daraufhin erfolgte Veröffentlichung stellen jedenfalls eine zumindest teilweise in automatisierter Form erfolgte Verarbeitung dar (vgl. EuGH 06.11.2003, C-101/01 (Lindqvist) Rz 25; Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 2 DSGVO Rz 8 (Stand 01.12.2020, rdb.at). Eine Ausnahme

Art 2Abs 2 oder Abs 3 leg.cit.

ist nicht einschlägig.Artikel 2, DSGVO normiert den sachlichen Anwendungsbereich der DSGVO;

Absatz eins, leg.cit. gilt die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Bereits das Hochladen des Lebenslaufs durch die Beschwerdeführerin ins Internet sowie die daraufhin erfolgte Veröffentlichung stellen jedenfalls eine zumindest teilweise in automatisierter Form erfolgte Verarbeitung dar vergleiche EuGH 06.11.2003, C-101/01 (Lindqvist) Rz 25; Bergauer in Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 2, DSGVO Rz 8 (Stand 01.12.2020, rdb.at). Eine Ausnahme

Artikel 2, Absatz 2, oder Absatz 3, leg.cit.

ist nicht einschlägig. Bei den Angaben im Lebenslauf der mitbeteiligten Partei zu ihrem Namen, dem Geburtsdatum, der Staatsbürgerschaft, dem Familienstand, der Wohnanschrift, der Telefonnummer und der E-Mail-Adresse sowie zu beruflichen Erfahrungen und weiteren Kenntnissen der mitbeteiligten Partei, handelt es sich zweifelsohne um deren personenbezogene Daten iSd Art. 4 Z 1 DSGVO.Bei den Angaben im Lebenslauf der mitbeteiligten Partei zu ihrem Namen, dem Geburtsdatum, der Staatsbürgerschaft, dem Familienstand, der Wohnanschrift, der Telefonnummer und der E-Mail-Adresse sowie zu beruflichen Erfahrungen und weiteren Kenntnissen der mitbeteiligten Partei, handelt es sich zweifelsohne um deren personenbezogene Daten iSd Artikel 4, Ziffer eins, DSGVO. Der Anwendungsbereich der DSGVO ist somit eröffnet. 3.2.3.2. Zur Verantwortlicheneigenschaft: Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist

Art. 4

Z 7 DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden. Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist

Artikel 4

, Ziffer 7, DSGVO die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden. Wie festgestellt, betreibt die Beschwerdeführerin die Website XXXX . Sie entschied auch bei der Veröffentlichung des Lebenslaufs der mitbeteiligten Partei auf ihrer Website über Zweck und Mittel der Datenverarbeitung, sie erfolgte ausschließlich im Interesse der Beschwerdeführerin. Daher hat die Beschwerdeführerin als datenschutzrechtlich Verantwortliche

Art. 4Z 7 DSGVO zu gelten.

Wie festgestellt, betreibt die Beschwerdeführerin die Website römisch 40 . Sie entschied auch bei der Veröffentlichung des Lebenslaufs der mitbeteiligten Partei auf ihrer Website über Zweck und Mittel der Datenverarbeitung, sie erfolgte ausschließlich im Interesse der Beschwerdeführerin. Daher hat die Beschwerdeführerin als datenschutzrechtlich Verantwortliche

Artikel 4, Ziffer 7, DSGVO zu gelten.

3.2.3.3. Zur Rechtmäßigkeit der Datenverarbeitung: § 1 Abs. 2 regelt die Voraussetzungen für einen Eingriff in das Grundrecht auf Datenschutz. Aufgrund der Vorrangstellung unmittelbar anwendbaren Unionsrechts kann das Grundrecht einer Datenverarbeitung nicht entgegenstehen, die nach der DSGVO rechtmäßig ist.Paragraph eins, Absatz 2, regelt die Voraussetzungen für einen Eingriff in das Grundrecht auf Datenschutz. Aufgrund der Vorrangstellung unmittelbar anwendbaren Unionsrechts kann das Grundrecht einer Datenverarbeitung nicht entgegenstehen, die nach der DSGVO rechtmäßig ist. Dem Gedanken der informationellen Selbstbestimmung folgend sieht § 1 Abs. 2 DSG zunächst vor, dass die datenschutzrechtlichen Gewährleistungen aufgrund der höchstpersönlichen, individuellen Interessenlage des Betroffenen selbst beschränkt werden können; zulässig sind Eingriffe in den Geheimhaltungsanspruch demnach, wenn sie im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgen. Liegen diese Voraussetzungen nicht vor, muss sich eine Grundrechtsbeschränkung auf überwiegende Interessen eines anderen stützen können; darunter können sowohl die Interessen Privater als auch öffentliche Interessen fallen. In beiden Fällen ist zwingend eine Abwägung mit den Geheimhaltungsinteressen des Betroffenen vorzunehmen (Ennöckl in Kahl/Khakzadeh/Schmid, Art. 1 DSG, Rz 29).Dem Gedanken der informationellen Selbstbestimmung folgend sieht Paragraph eins, Absatz 2, DSG zunächst vor, dass die datenschutzrechtlichen Gewährleistungen aufgrund der höchstpersönlichen, individuellen Interessenlage des Betroffenen selbst beschränkt werden können; zulässig sind Eingriffe in den Geheimhaltungsanspruch demnach, wenn sie im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgen. Liegen diese Voraussetzungen nicht vor, muss sich eine Grundrechtsbeschränkung auf überwiegende Interessen eines anderen stützen können; darunter können sowohl die Interessen Privater als auch öffentliche Interessen fallen. In beiden Fällen ist zwingend eine Abwägung mit den Geheimhaltungsinteressen des Betroffenen vorzunehmen (Ennöckl in Kahl/Khakzadeh/Schmid, Artikel eins, DSG, Rz 29). Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Art. 6 DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Art. 5 Abs. 1 geregelten Grundsätzen – mindestens einem der in Art. 6 Abs. 1 DSGVO abschließend festgelegten Rechtsgründe genügen muss (vgl. Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Art. 5 Rz 8f; EuGH 21.12.2023, C-667/21, Krankenversicherung Nordrhein, Rz 76).Die Anforderungen für eine rechtmäßige Datenverarbeitung sind in Artikel 6, DSGVO konkretisiert. Danach erfordert die Rechtmäßigkeit jeder Verarbeitung, dass die Verarbeitung – kumulativ zu den anderen in Artikel 5, Absatz eins, geregelten Grundsätzen – mindestens einem der in Artikel 6, Absatz eins, DSGVO abschließend festgelegten Rechtsgründe genügen muss vergleiche Selmayr in Ehmann/Selmayr, Datenschutz-Grundverordnung, Kommentar², Artikel 5, Rz 8f; EuGH 21.12.2023, C-667/21, Krankenversicherung Nordrhein, Rz 76). Die belangte Behörde hat in ihrer rechtlichen Beurteilung das Vorliegen von Rechtfertigungsgründen einschließlich eines berechtigten Interesses der Beschwerdeführerin an der Veröffentlichung des Lebenslaufs der mitbeteiligten Partei auf ihrer Website ohne Wissen oder Zustimmung der mitbeteiligten Partei noch ohne nähere Prüfung bzw. Interessenabwägung verneint. Die Beschwerdeführerin hat deren Vorliegen jedoch im gesamten Verfahren vor der belangten Behörde und auch in ihrer Bescheidbeschwerde zu keinem Zeitpunkt behauptet. Insbesondere lag und liegt keine Einwilligung

Art 6Abs 1 lit a i

Vm Art. 4 Nr. 11 DSGVO vor.Die belangte Behörde hat in ihrer rechtlichen Beurteilung das Vorliegen von Rechtfertigungsgründen einschließlich eines berechtigten Interesses der Beschwerdeführerin an der Veröffentlichung des Lebenslaufs der mitbeteiligten Partei auf ihrer Website ohne Wissen oder Zustimmung der mitbeteiligten Partei noch ohne nähere Prüfung bzw. Interessenabwägung verneint. Die Beschwerdeführerin hat deren Vorliegen jedoch im gesamten Verfahren vor der belangten Behörde und auch in ihrer Bescheidbeschwerde zu keinem Zeitpunkt behauptet. Insbesondere lag und liegt keine Einwilligung

Artikel 6, Absatz eins, Litera a, in Verbindung mit Artikel 4, Nr.

11 DSGVO vor.

Art. 6Abs.

1 lit. f DSGVO ist eine Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen.

Artikel 6

, Absatz eins, Litera f, DSGVO ist eine Verarbeitung rechtmäßig, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen; dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen. Es ist jedoch auch ohne entsprechendes Vorbringen der Beschwerdeführerin nicht ersichtlich, welches berechtigte Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO sie an der Veröffentlichung des Lebenslaufs der mitbeteiligten Partei im Internet gehabt haben könnte, zu dessen Verwirklichung die Verarbeitung der personenbezogenen Daten erforderlich gewesen sein könnte, woraufhin in einem nächsten Schritt ohnehin noch die Erforderlichkeit der Datenverarbeitung durch den Verantwortlichen den Interessen oder Grundrechten und Grundfreiheiten der mitbeteiligten Partei gegenüberzustellen wären.Es ist jedoch auch ohne entsprechendes Vorbringen der Beschwerdeführerin nicht ersichtlich, welches berechtigte Interesse im Sinne von Artikel 6, Absatz eins, Litera f, DSGVO sie an der Veröffentlichung des Lebenslaufs der mitbeteiligten Partei im Internet gehabt haben könnte, zu dessen Verwirklichung die Verarbeitung der personenbezogenen Daten erforderlich gewesen sein könnte, woraufhin in einem nächsten Schritt ohnehin noch die Erforderlichkeit der Datenverarbeitung durch den Verantwortlichen den Interessen oder Grundrechten und Grundfreiheiten der mitbeteiligten Partei gegenüberzustellen wären. Die Veröffentlichung eines im Hinblick auf eine mögliche Anstellung der mitbeteiligten Partei bei der Beschwerdeführerin an diese übermittelten Lebenslaufs im Internet widerspricht zudem dem in Art. 5 Abs. 1 lit. b DSGVO verankerten Zweckbindungsgrundsatz und dem in Art. 5 Abs. 1 lit. c DSGVO verankerten Grundsatz der Datenminimierung (siehe dazu auch Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung3, Art. 5 Rn. 29).Die Veröffentlichung eines im Hinblick auf eine mögliche Anstellung der mitbeteiligten Partei bei der Beschwerdeführerin an diese übermittelten Lebenslaufs im Internet widerspricht zudem dem in Artikel 5, Absatz eins, Litera b, DSGVO verankerten Zweckbindungsgrundsatz und dem in Artikel 5, Absatz eins, Litera c, DSGVO verankerten Grundsatz der Datenminimierung (siehe dazu auch Heberlein in Ehmann/Selmayr, Datenschutz-Grundverordnung3, Artikel 5, Rn. 29). 3.2.3.4. Zusammenfassend erfolgte die gegenständliche Veröffentlichung des Lebenslaufs der mitbeteiligten Partei auf der Website der Beschwerdeführerin entgegen Art. 5 und Art. 6 DSGVO. Die fragliche Datenverarbeitung erweist sich in einer Zusammenschau insgesamt als nicht rechtmäßig. Es liegt demzufolge die von der mitbeteiligten Partei behauptete und von der belangten Behörde im Bescheid festgestellte Verletzung der mitbeteiligten Partei im Recht auf Geheimhaltung

§ 1DSG vor.

3.2.3.4. Zusammenfassend erfolgte die gegenständliche Veröffentlichung des Lebenslaufs der mitbeteiligten Partei auf der Website der Beschwerdeführerin entgegen Artikel 5 und Artikel 6, DSGVO. Die fragliche Datenverarbeitung erweist sich in einer Zusammenschau insgesamt als nicht rechtmäßig. Es liegt demzufolge die von der mitbeteiligten Partei behauptete und von der belangten Behörde im Bescheid festgestellte Verletzung der mitbeteiligten Partei im Recht auf Geheimhaltung

Paragraph eins, DSG vor. Es war daher der Beschwerde nicht Folge zu geben. 3.2.

1. Zum weiteren Vorbringen: 3.2.4.
2. Der mitbeteiligten Partei: Hinsichtlich der Feststellung zu Pkt. 1.2.
3. und der beweiswürdigenden Erwägungen ist die mitbeteiligte Partei ergänzend auf die Meldestelle Rufnummernmissbrauch der Rundfunk und Telekom Regulierungs-GmbH (RTR-GmbH) zu verweisen, die für die Bekämpfung von Belästigungen durch unerwünschte Anrufe wie Ping- und Phishing-Anrufe oder Werbeanrufe (Cold Calling) zuständig ist und Hilfestellungen anbietet. Sie kann unter der Website https://www.rtr.at/TKP/was_wir_tun/telekommunikation/konsumentenservice/meldestelle_rufnummernmissbrauch/Beschwerde_Meldung.de.html erreicht werden. 3.2.4.
4. Der Beschwerdeführerin: Soweit die Beschwerdeführerin in der Beschwerdeschrift die Mangelhaftigkeit des Verfahrens rügt, indem sie vorbringt, die belangte Behörde stütze die Erlassung des Bescheides auf Indizien, die auf die mangelnde Kooperationsbereitschaft der Beschwerdeführerin zurückzuführen seien, obwohl diese zu jederzeit kooperationsbereit gewesen sei und offensichtlich die Zustellung der Aufforderungen an sie nicht richtig erfolgt seien, kann dem nicht gefolgt werden: Wie bereits dem unter I. dargestellten Verfahrensgang zu entnehmen ist, wurde zunächst die verfahrenseinleitende Datenschutzbeschwerde der mitbeteiligten Partei vom 06.03.2024 der Beschwerdeführerin zugestellt und nahm sie dazu mit Eingabe vom 22.03.2024 Stellung. Über eine Aufforderung der belangten Behörde zu einer ergänzenden Stellungnahme vom 27.03.2024, erstattete die Beschwerdeführerin eine solche mit Eingabe vom 11.04.
5. Lediglich die weitere Aufforderung der belangten Behörde zu einer ergänzenden Stellungnahme vom 12.04.2024, ebenso wie die dazu am 13.05.2024 ergangene Urgenz, blieben unbeantwortet. Zumindest die Urgenz vom 13.05.2024 zur ergänzenden Stellungnahme wurde jedoch, wie aus dem Verwaltungsakt ersichtlich ist, nachweislich durch Hinterlegung zugestellt, weshalb das diesbezügliche Vorbringen der Beschwerdeführerin als aktenwidrig anzusehen ist.Wie bereits dem unter römisch eins. dargestellten Verfahrensgang zu entnehmen ist, wurde zunächst die verfahrenseinleitende Datenschutzbeschwerde der mitbeteiligten Partei vom 06.03.2024 der Beschwerdeführerin zugestellt und nahm sie dazu mit Eingabe vom 22.03.2024 Stellung. Über eine Aufforderung der belangten Behörde zu einer ergänzenden Stellungnahme vom 27.03.2024, erstattete die Beschwerdeführerin eine solche mit Eingabe vom 11.04.
6. Lediglich die weitere Aufforderung der belangten Behörde zu einer ergänzenden Stellungnahme vom 12.04.2024, ebenso wie die dazu am 13.05.2024 ergangene Urgenz, blieben unbeantwortet. Zumindest die Urgenz vom 13.05.2024 zur ergänzenden Stellungnahme wurde jedoch, wie aus dem Verwaltungsakt ersichtlich ist, nachweislich durch Hinterlegung zugestellt, weshalb das diesbezügliche Vorbringen der Beschwerdeführerin als aktenwidrig anzusehen ist. Darüber hinaus ist auf die Rechtsprechung des Verwaltungsgerichtshofs zu verweisen, wonach allfällig unterlaufene Verfahrensfehler vor der Verwaltungsbehörde durch ein ordnungsgemäß vor dem Verwaltungsgericht geführtes Beschwerdeverfahren saniert werden können (siehe VwGH 04.06.2025, Ra 2024/20/0149; 05.02.2021, Ra 2018/19/0685; 06.09.2018, Ra 2018/18/0191 RS1 mwN). Allfällige diesbezügliche Verfahrensmängel müssen durch die Auseinandersetzung mit dem Beschwerdevorbringen im gerichtlichen Verfahren als saniert angesehen werden. Es ist jedoch selbst in Ansehung der Bescheidbeschwerde nicht ersichtlich, welches Vorbringen der Beschwerdeführerin sie als geeignet ansieht, die von der belangten Behörde – und in weiterer Folge auch durch das Gericht – getroffenen Feststellungen zu erschüttern (siehe dazu ausführlich unter Pkt. II.3.2.). Vielmehr wäre es an der Beschwerdeführerin selbst gelegen, nicht nur die Unrichtigkeit des vor allem auf dem Vorbringen samt der eingebrachten Belege der mitbeteiligten Partei beruhenden Sachverhalts zu behaupten, sondern diese Behauptungen auch entsprechend der für jede Partei des Verfahrens in § 39 Abs. 2a AVG normierten – zufolge § 17 VwGVG auch im verwaltungsgerichtlichen Verfahren geltenden – Verfahrensförderungspflicht durch geeignete Belege zu bekräftigen, wozu auch ein Verweis auf eine nach wie vor bestehende „Kooperationsbereitschaft“ ihrerseits nicht geeignet war.Es ist jedoch selbst in Ansehung der Bescheidbeschwerde nicht ersichtlich, welches Vorbringen der Beschwerdeführerin sie als geeignet ansieht, die von der belangten Behörde – und in weiterer Folge auch durch das Gericht – getroffenen Feststellungen zu erschüttern (siehe dazu ausführlich unter Pkt. römisch zwei.3.2.). Vielmehr wäre es an der Beschwerdeführerin selbst gelegen, nicht nur die Unrichtigkeit des vor allem auf dem Vorbringen samt der eingebrachten Belege der mitbeteiligten Partei beruhenden Sachverhalts zu behaupten, sondern diese Behauptungen auch entsprechend der für jede Partei des Verfahrens in Paragraph 39, Absatz 2 a, AVG normierten – zufolge Paragraph 17, VwGVG auch im verwaltungsgerichtlichen Verfahren geltenden – Verfahrensförderungspflicht durch geeignete Belege zu bekräftigen, wozu auch ein Verweis auf eine nach wie vor bestehende „Kooperationsbereitschaft“ ihrerseits nicht geeignet war. 3.
7. Zum Entfall der Verhandlung: Auf die Durchführung einer Verhandlung kann

§ 24Abs. 4 Vw

GVG verzichtet werden, soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist, und ungeachtet eines Parteiantrags, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Art. 47 der Charta der Grundrechte der Europäischen Union entgegenstehen. Auf die Durchführung einer Verhandlung kann

Paragraph 24, Absatz 4, VwGVG verzichtet werden, soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist, und ungeachtet eines Parteiantrags, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Artikel 47, der Charta der Grundrechte der Europäischen Union entgegenstehen. Der maßgebliche Sachverhalt konnte als durch die Aktenlage hinreichend geklärt erachtet werden. In der Beschwerde wurden keine noch zu klärenden Tatsachenfragen in konkreter und substantiierter Weise aufgeworfen und war gegenständlich auch keine komplexe Rechtsfrage zu lösen (VwGH vom 31.07.2007, Zl. 2005/05/0080). Somit konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden. Dem Absehen von der Verhandlung stehen hier auch Art 6 Abs. 1 EMRK und Art 47 der Charta der Grundrechte der Europäischen Union nicht entgegen.Der maßgebliche Sachverhalt konnte als durch die Aktenlage hinreichend geklärt erachtet werden. In der Beschwerde wurden keine noch zu klärenden Tatsachenfragen in konkreter und substantiierter Weise aufgeworfen und war gegenständlich auch keine komplexe Rechtsfrage zu lösen (VwGH vom 31.07.2007, Zl. 2005/05/0080). Somit konnte von der Durchführung einer mündlichen Verhandlung abgesehen werden. Dem Absehen von der Verhandlung stehen hier auch Artikel 6, Absatz eins, EMRK und Artikel 47, der Charta der Grundrechte der Europäischen Union nicht entgegen. 3.4. Zu Spruchpunkt B) (Unzulässigkeit der Revision):

§ 25aAbs. 1 Vw

GG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Art. 133Abs.

4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision

Artikel 133, Absatz 4, B-VG zulässig ist.

Der Ausspruch ist kurz zu begründen. Die Revision ist

Art. 133Abs.

4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Das Bundesverwaltungsgericht kann sich bei allen erheblichen Rechtsfragen auf eine ständige Rechtsprechung des Verwaltungsgerichtshofes bzw. auf eine ohnehin klare Rechtslage stützen. European Case Law IdentifierECLI:AT:BVWG:2026:W605.2297537.1.00