Obsah (6)

Art. 133 Art. 13 Art. 44 Art. 45 Art. 46 Artikel 3

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum18.05.2026 GeschäftszahlW171 2302513-1 Spruch, W171 2302513–1/17E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

Art. 133Abs.

4 B-VG nicht zulässig.Die Revision ist

Artikel 133, Absatz 4, B-VG nicht zulässig. Text

Entscheidungsgründe: I. Verfahrensgang:römisch eins. Verfahrensgang:

Mit verfahrenseinleitender Eingabe vom 25.04.2022, verbessert mit 09.05.2022, wandte sich XXXX (idF „mitbeteiligte Partei“) an die Datenschutzbehörde (idF „belangte Behörde“ oder „DSB“) und brachte vor, dass er von der Beschwerdeführerin in seinem Recht auf Auskunft verletzt worden sei, da ein Auskunftsbegehren vom 07.03.2022 nicht beantwortet worden sei. Konkret sei die mitbeteiligte Partei im Recht auf Information sowie im Recht auf Auskunft verletzt worden. Zudem habe die Beschwerdeführerin offenbar Daten in die USA weitergeleitet. Einer Datenverarbeitung durch die Beschwerdeführerin habe die mitbeteiligte Partei nie zugestimmt.
Mit verfahrenseinleitender Eingabe vom 25.04.2022, verbessert mit 09.05.2022, wandte sich römisch 40 in der Fassung „mitbeteiligte Partei“) an die Datenschutzbehörde in der Fassung „belangte Behörde“ oder „DSB“) und brachte vor, dass er von der Beschwerdeführerin in seinem Recht auf Auskunft verletzt worden sei, da ein Auskunftsbegehren vom 07.03.2022 nicht beantwortet worden sei. Konkret sei die mitbeteiligte Partei im Recht auf Information sowie im Recht auf Auskunft verletzt worden. Zudem habe die Beschwerdeführerin offenbar Daten in die USA weitergeleitet. Einer Datenverarbeitung durch die Beschwerdeführerin habe die mitbeteiligte Partei nie zugestimmt.
Mit Stellungnahme vom 27.06.2022 führte die rechtsfreundlich vertretene Beschwerdeführerin zusammengefasst aus, dass sie nachträglich alle Informationen iSd. Art. 13, 14 und 15 DSGVO erteilt habe. Interne Fehler hätten dazu geführt, dass die Anfrage der mitbeteiligten Partei nicht weitergeleitet worden sei.
Mit Stellungnahme vom 27.06.2022 führte die rechtsfreundlich vertretene Beschwerdeführerin zusammengefasst aus, dass sie nachträglich alle Informationen iSd. Artikel 13, 14 und 15 DSGVO erteilt habe. Interne Fehler hätten dazu geführt, dass die Anfrage der mitbeteiligten Partei nicht weitergeleitet worden sei. Die mitbeteiligte Partei sei Bestandskunde der Beschwerdeführerin und verfüge über diverse Zeitungs- bzw. Nachrichtenabonnements. Bei dem E-Mail, aufgrund dessen die gegenständliche Datenschutzbeschwerde erhoben wurde, habe es sich um ein Informations-Mail gehandelt, mit dem die mitbeteiligte Partei über den Umfang eines der Abonnements informiert werden sollte. Durch eine Verlinkung in der E-Mail sei es Nutzern möglich, sich gegen den Empfang solcher Info-Mails auszusprechen. Die Beschwerdeführerin bediene sich zur Aussendung solcher Info-Mails bzw. anderer E-Mail-Zusendungen eines Softwaredienstleisters, der Lösungen für die Versendung von E-Mails in großer Zahl anbiete. XXXX Dabei würden lediglich Nachname, Vorname und E-Mail-Adresse mit XXXX geteilt. Eine Verarbeitung zu darüber hinausgehenden Zwecken finde nicht statt. Aufgrund der internationalen Ausrichtung von XXXX könne eine allfällige Datenübertragung in Drittländer nicht ausgeschlossen werden, erfolge jedoch unter Beachtung der von der EU-Kommission herausgegebenen Standarddatenschutzklauseln für Datenübermittlungen in ein Drittland sowie der DSGVO allgemein.Die Beschwerdeführerin bediene sich zur Aussendung solcher Info-Mails bzw. anderer E-Mail-Zusendungen eines Softwaredienstleisters, der Lösungen für die Versendung von E-Mails in großer Zahl anbiete. römisch 40 Dabei würden lediglich Nachname, Vorname und E-Mail-Adresse mit römisch 40 geteilt. Eine Verarbeitung zu darüber hinausgehenden Zwecken finde nicht statt. Aufgrund der internationalen Ausrichtung von römisch 40 könne eine allfällige Datenübertragung in Drittländer nicht ausgeschlossen werden, erfolge jedoch unter Beachtung der von der EU-Kommission herausgegebenen Standarddatenschutzklauseln für Datenübermittlungen in ein Drittland sowie der DSGVO allgemein. Die Beschwerdeführerin habe nach dem EuGH-Urteil zu „Schrems II“ diverse Anpassungen der internen Datenverarbeitung vorgenommen, um den europarechtlichen Datenschutzanforderungen gerecht zu werden. Zudem sei geplant europäische Rechenzentren einzurichten, um Datenübertragungen in Drittländer noch stärker zu unterbinden. Schließlich sei XXXX selbst dazu verpflichtet Kunden über allfällige Anfragen amerikanischer Behörden zu informieren; solche hätte es bisher jedoch nicht gegeben. Die Beschwerdeführerin habe nach dem EuGH-Urteil zu „Schrems II“ diverse Anpassungen der internen Datenverarbeitung vorgenommen, um den europarechtlichen Datenschutzanforderungen gerecht zu werden. Zudem sei geplant europäische Rechenzentren einzurichten, um Datenübertragungen in Drittländer noch stärker zu unterbinden. Schließlich sei römisch 40 selbst dazu verpflichtet Kunden über allfällige Anfragen amerikanischer Behörden zu informieren; solche hätte es bisher jedoch nicht gegeben. Das Risiko der Beeinträchtigung von Rechten und Freiheiten der mitbeteiligten Person sei im Ergebnis daher als gering eingestuft worden. Gleichzeit legte die Beschwerdeführerin die an die mitbeteiligte Partei übermittelte Auskunft sowie diverse Beilagen vor, aus denen eine rechtmäßige Datenverarbeitung hervorgehe.
Mit Stellungnahme vom 14.07.2022 führte die mitbeteiligte Partei aus, dass die Auskunft nicht innerhalb der gesetzlichen Frist erfolgt sei. Zudem seien ihre Daten ohne ihre Zustimmung an diverse Unternehmen übermittelt worden, wobei auch keine rechtliche Grundlage für diese Übermittlungen vorliege. Darüber hinaus bestritt sie die Rechtmäßigkeit der Datenübertragung in die USA und hielt fest, dass die Beschwerdeführerin auch personenbezogene Verhaltensdaten unzulässigerweise verarbeite.
Mit Schreiben vom 03.08.2022 wurde die Beschwerdeführerin zur ergänzenden Stellungnahme und Beantwortung diverser Fragen aufgefordert. In der darauffolgenden Stellungnahme vom 08.09.2022 führte die Beschwerdeführerin im Wesentlichen jene Punkte aus, die sie bereits in ihrer Stellungnahme vom 27.06.2022 vorbrachte. Es könne nicht ausgeschlossen werden, dass Daten der mitbeteiligten Partei (Name, E-Mail-Adresse) im Anschluss an die E-Mail-Versendung in ein Drittland übermittelt wurden. XXXX habe umfangreiche Maßnahmen gesetzt, um der Gewährleistung des unionsrechtlichen Datenschutzniveaus gerecht zu werden. Dies beziehe sich insbesondere auf technische, vertragliche und organisatorische Maßnahmen. Die Daten würden von XXXX verschlüsselt verwahrt werden. Hinsichtlich der Unternehmensstruktur von XXXX führte die Beschwerdeführerin aus, dass sie einen Vertrag mit der XXXX mit Sitz in Deutschland geschlossen habe.
Mit Schreiben vom 03.08.2022 wurde die Beschwerdeführerin zur ergänzenden Stellungnahme und Beantwortung diverser Fragen aufgefordert. In der darauffolgenden Stellungnahme vom 08.09.2022 führte die Beschwerdeführerin im Wesentlichen jene Punkte aus, die sie bereits in ihrer Stellungnahme vom 27.06.2022 vorbrachte. Es könne nicht ausgeschlossen werden, dass Daten der mitbeteiligten Partei (Name, E-Mail-Adresse) im Anschluss an die E-Mail-Versendung in ein Drittland übermittelt wurden. römisch 40 habe umfangreiche Maßnahmen gesetzt, um der Gewährleistung des unionsrechtlichen Datenschutzniveaus gerecht zu werden. Dies beziehe sich insbesondere auf technische, vertragliche und organisatorische Maßnahmen. Die Daten würden von römisch 40 verschlüsselt verwahrt werden. Hinsichtlich der Unternehmensstruktur von römisch 40 führte die Beschwerdeführerin aus, dass sie einen Vertrag mit der römisch 40 mit Sitz in Deutschland geschlossen habe.
Mit Stellungnahme vom 17.10.2022 führte die mitbeteiligte Partei aus, dass die sogenannten „SCC“ (Standarddatenschutzklauseln) auf die sich die Beschwerdeführerin beruft nicht ausreichend seien um einen Schutz der personenbezogenen Daten zu gewährleisten. Dass die Daten zeitnah in europäische Rechenzentren migriert würden sei für den gegenständlichen Sachverhalt irrelevant. Auch die Argumentation dahingehend, dass keine amerikanischen Behörden Abfragen durchgeführt hätten und der Zweck der Datenverarbeitung „überschaubar“ sei, seien irrelevant. Insgesamt handle es sich beim Vorbringen der Beschwerdeführerin um Schutzbehauptungen.
Mit Schreiben vom 28.03.2023 teilte die Beschwerdeführerin mit, dass ein Datentransfer in europäische Rechenzentren stattgefunden habe und die personenbezogenen Daten der mitbeteiligten Partei nunmehr ausschließlich in Europa gespeichert und verarbeitet würden.
Mit verfahrensgegenständlichem Bescheid vom 02.10.2024 gab die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei teilweise statt und stellte fest, dass die Beschwerdeführerin (Beschwerdegegnerin im verwaltungsbehördlichen Verfahren) Art. 44 DSGVO verletzt habe, indem sie bei der Übermittlung der personenbezogenen Daten der mitbeteiligten Partei die Vorgaben des Art. 44 DSGVO nicht erfüllt habe und, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Information verletzt habe, indem sie dieser zum Zeitpunkt der Datenerhebung nicht die

Art. 13

DSGVO erforderlichen Informationen zur Verfügung gestellte habe und somit ihrer Informationspflicht gem. Art. 13 DSGVO nicht nachgekommen sei. Die Beschwerde im Recht auf Auskunft wurde abgewiesen. 7. Mit verfahrensgegenständlichem Bescheid vom 02.10.2024 gab die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei teilweise statt und stellte fest, dass die Beschwerdeführerin (Beschwerdegegnerin im verwaltungsbehördlichen Verfahren) Artikel 44, DSGVO verletzt habe, indem sie bei der Übermittlung der personenbezogenen Daten der mitbeteiligten Partei die Vorgaben des Artikel 44, DSGVO nicht erfüllt habe und, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Information verletzt habe, indem sie dieser zum Zeitpunkt der Datenerhebung nicht die

Artikel 13

, DSGVO erforderlichen Informationen zur Verfügung gestellte habe und somit ihrer Informationspflicht gem. Artikel 13, DSGVO nicht nachgekommen sei. Die Beschwerde im Recht auf Auskunft wurde abgewiesen. Zu Spruchpunkt 1 führte die belangte Behörde begründend aus, dass die Beschwerdeführerin als Verantwortliche grundsätzlich die Pflicht treffe nachzuweisen, dass die Datenverarbeitung den unionsrechtlichen Datenschutzbestimmungen entspreche. Da die Beschwerdeführerin keine entsprechenden entgegenstehenden Beweise erbracht hat, sei davon auszugehen, dass eine Datenübertragung in die USA (Drittland) erfolgt sei. Weder gäbe es einen (gültigen) Angemessenheitsbeschluss der Europäischen Kommission für Datentransfers in die USA, noch gäbe es vertragliche, technische oder organisatorische Maßnahmen, die iSv „geeigneten Maßnahmen“ eine unzulässige Datenverarbeitung verhindern könnten. Darüber hinaus gäbe es gegenständlich auch keine Ausnahme von diesen Grundsätzen. Zu Spruchpunkt 2 führte die belangte Behörde aus, dass es dem Verantwortlichen obliege die Informationen iSd. Art. 13 DSGVO aktiv zu erteilen. Im Unterschied zum antragsbedürftigen Recht auf Auskunft iSd. Art. 15 DSGVO, welches im Falle der Verletzung nachträglich saniert werden könne, stehe der Umstand, dass die Information im gegenständlichen Verfahren nachträglich erteilt wurde, der Feststellung einer Verletzung im Recht auf Information iSd. Art. 13 DSGVO nicht entgegen.Zu Spruchpunkt 2 führte die belangte Behörde aus, dass es dem Verantwortlichen obliege die Informationen iSd. Artikel 13, DSGVO aktiv zu erteilen. Im Unterschied zum antragsbedürftigen Recht auf Auskunft iSd. Artikel 15, DSGVO, welches im Falle der Verletzung nachträglich saniert werden könne, stehe der Umstand, dass die Information im gegenständlichen Verfahren nachträglich erteilt wurde, der Feststellung einer Verletzung im Recht auf Information iSd. Artikel 13, DSGVO nicht entgegen. Zu Spruchpunkt 3 führte die belangte Behörde aus, dass die Rechtsverletzung mit Blick auf Art. 15 DSGVO nachträglich beseitigt worden sei, weshalb die Beschwerde dahingehend abzuweisen war. Zu Spruchpunkt 3 führte die belangte Behörde aus, dass die Rechtsverletzung mit Blick auf Artikel 15, DSGVO nachträglich beseitigt worden sei, weshalb die Beschwerde dahingehend abzuweisen war.

Mit Bescheidbeschwerde vom 12.11.2024 wandte sich die Beschwerdeführerin an das Bundesverwaltungsgericht und führte zusammengefasst jene Punkte aus, die auch im verwaltungsbehördlichen Verfahren vorgebracht wurden. Ergänzend brachte die Beschwerdeführerin vor, dass seit Mai 2021 ein Vertrag mit XXXX bestehe und auf diese Verbindung auch in ihrer Datenschutzpolicy hingewiesen werde. Zwar werde die Beschwerdeführerin in einem Annex-Dokument eines XXXX Processing Agreements als Datenexporteurin und die XXXX als Datenimporteurin genannt, allerdings treffe die Bezeichnung Datenexporteurin viel eher auf die XXXX zu.
Mit Bescheidbeschwerde vom 12.11.2024 wandte sich die Beschwerdeführerin an das Bundesverwaltungsgericht und führte zusammengefasst jene Punkte aus, die auch im verwaltungsbehördlichen Verfahren vorgebracht wurden. Ergänzend brachte die Beschwerdeführerin vor, dass seit Mai 2021 ein Vertrag mit römisch 40 bestehe und auf diese Verbindung auch in ihrer Datenschutzpolicy hingewiesen werde. Zwar werde die Beschwerdeführerin in einem Annex-Dokument eines römisch 40 Processing Agreements als Datenexporteurin und die römisch 40 als Datenimporteurin genannt, allerdings treffe die Bezeichnung Datenexporteurin viel eher auf die römisch 40 zu.
Am 15.01.2026 fand unter Anwesenheit des erkennenden Senats, informierter Vertreter der Beschwerdeführerin, der Rechtsvertretung der Beschwerdeführerin sowie der mitbeteiligten Partei eine mündliche Verhandlung vor dem Bundesverwaltungsgericht statt. Die belangte Behörde nahm entschuldigt nicht an der Verhandlung teil. Im Rahmen dieser Verhandlung wurde der Verfahrensgegenstand sowie die einschlägige Rechtslage umfassend thematisiert.
Mit Aktenvorlage vom 30.01.2026 übermittelte die Beschwerdeführerin diverse Dokumente zur Argumentation ihres Standpunktes. II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:
Feststellungen: 1.
Bei der Beschwerdeführerin handelt es sich um einen österreichischen Magazinverlag mit Sitz in Wien. Gegenstand des Unternehmens ist die Herausgabe und der Vertrieb von Wochen-, Monats- und sonstigen Zeitschriften. 1.
Die mitbeteiligte Partei ist seit einigen Jahren Bestandskunde der Beschwerdeführerin und verfügt bzw. verfügte unter zwei näher bezeichneten Kundennummern ein Abonnement über die Zustellung des XXXX -Magazins, über den Bezug der Zeitschrift XXXX sowie allfälliger weiterer Zeitschriften. Der Vertrag über den Bezug der XXXX (print- und e-Magazin) besteht seit dem
Dezember 2017, jener über den Bezug des XXXX seit dem
April 2021; beide sind nach wie vor aufrecht.1.
Die mitbeteiligte Partei ist seit einigen Jahren Bestandskunde der Beschwerdeführerin und verfügt bzw. verfügte unter zwei näher bezeichneten Kundennummern ein Abonnement über die Zustellung des römisch 40 -Magazins, über den Bezug der Zeitschrift römisch 40 sowie allfälliger weiterer Zeitschriften. Der Vertrag über den Bezug der römisch 40 (print- und e-Magazin) besteht seit dem
Dezember 2017, jener über den Bezug des römisch 40 seit dem
April 2021; beide sind nach wie vor aufrecht. Der Vertrag zum verfahrensgegenständlichen XXXX -Abo wurde telefonisch abgeschlossen. Gegenstand des Abos ist eine physische Ausgabe des Magazins, jedoch auch der Zugang zu einem E-Paper, sohin einer elektronischen Ausgabe, sowie der XXXX , einer Plattform, auf der zusätzliche Inhalte bereitgestellt werden. Zum Telefonat, in dessen Rahmen der Abo-Vertrag geschlossen wurde existieren keine Aufzeichnungen mehr. Für den Zugang zum E-Paper bzw. der XXXX bedarf es einer zusätzlichen Registrierung, wodurch Nutzer diverse Informationen zum Datenschutz erhalten. Für den Abschluss des verfahrensgegenständlichen Abo-Vertrags galt eine Datenschutzerklärung die sich von der aktuell für Neuverträge verwendeten unterscheidet. Der Vertrag zum verfahrensgegenständlichen römisch 40 -Abo wurde telefonisch abgeschlossen. Gegenstand des Abos ist eine physische Ausgabe des Magazins, jedoch auch der Zugang zu einem E-Paper, sohin einer elektronischen Ausgabe, sowie der römisch 40 , einer Plattform, auf der zusätzliche Inhalte bereitgestellt werden. Zum Telefonat, in dessen Rahmen der Abo-Vertrag geschlossen wurde existieren keine Aufzeichnungen mehr. Für den Zugang zum E-Paper bzw. der römisch 40 bedarf es einer zusätzlichen Registrierung, wodurch Nutzer diverse Informationen zum Datenschutz erhalten. Für den Abschluss des verfahrensgegenständlichen Abo-Vertrags galt eine Datenschutzerklärung die sich von der aktuell für Neuverträge verwendeten unterscheidet. Die mitbeteiligte Partei hat sich nicht für die digitalen Inhalte des Abos registriert. Die mitbeteiligte Partei erhielt im Zuge des telefonischen Vertragsabschlusses keine Datenschutzinformationen iSd. Art. 13 und 14 DSGVO und keine diesbezüglichen Informationen in Form allgemeiner Geschäftsbedingungen.Die mitbeteiligte Partei hat sich nicht für die digitalen Inhalte des Abos registriert. Die mitbeteiligte Partei erhielt im Zuge des telefonischen Vertragsabschlusses keine Datenschutzinformationen iSd. Artikel 13 und 14 DSGVO und keine diesbezüglichen Informationen in Form allgemeiner Geschäftsbedingungen. Mit 01.05.2021 erfolgte ein Übergang zum nunmehr verfahrensgegenständlichen Marketing-Software-Dienstleister. Eine aktive Information der mitbeteiligten Partei zu dieser Änderung und der damit angepassten Datenschutzinformation erfolgte nicht. 1.
Die mitbeteiligte Partei erhielt am 07.03.2022 im Rahmen ihrer Abonnements ein Informations-E-Mail mit dem Betreff „Ihre XXXX Leseprobe wartet auf Sie“ und wurde im Zuge dessen über Nutzungsmöglichkeiten ihres Abonnements informiert. Eine Verlinkung ermöglichte den Zugriff auf das vorgestellte Format.1.
Die mitbeteiligte Partei erhielt am 07.03.2022 im Rahmen ihrer Abonnements ein Informations-E-Mail mit dem Betreff „Ihre römisch 40 Leseprobe wartet auf Sie“ und wurde im Zuge dessen über Nutzungsmöglichkeiten ihres Abonnements informiert. Eine Verlinkung ermöglichte den Zugriff auf das vorgestellte Format. Am Fußende der E-Mail befanden sich unter anderem folgende, mit Verlinkung hinterlegte Texte: „help@abo. XXXX .at“, „Von allen E-Mails abmelden“ sowie „Einstellungen verwalten“. Mit Klick auf den Link „Von allen E-Mails abmelden“ gelangte man zu einer von XXXX betriebenen Webseite.Am Fußende der E-Mail befanden sich unter anderem folgende, mit Verlinkung hinterlegte Texte: „help@abo. römisch 40 .at“, „Von allen E-Mails abmelden“ sowie „Einstellungen verwalten“. Mit Klick auf den Link „Von allen E-Mails abmelden“ gelangte man zu einer von römisch 40 betriebenen Webseite. 1.
Bei XXXX handelt es sich um ein auf Marketing spezialisiertes Unternehmen, das unter anderem Softwarelösungen für das Versenden großer Mengen E-Mails – wie zum Beispiel für kommerzielle Info-Mails oder Newsletter – anbietet und diesen Versand übernimmt. Der Mutterkonzern XXXX hat seinen Sitz in Cambridge in den USA, die Tochtergesellschaft XXXX hat ihren Sitz in Berlin. XXXX fällt unter den Anwendungsbereich von US-Recht. 1.
Bei römisch 40 handelt es sich um ein auf Marketing spezialisiertes Unternehmen, das unter anderem Softwarelösungen für das Versenden großer Mengen E-Mails – wie zum Beispiel für kommerzielle Info-Mails oder Newsletter – anbietet und diesen Versand übernimmt. Der Mutterkonzern römisch 40 hat seinen Sitz in Cambridge in den USA, die Tochtergesellschaft römisch 40 hat ihren Sitz in Berlin. römisch 40 fällt unter den Anwendungsbereich von US-Recht. 1.
Per E-Mail vom 07.03.2022 beschwerte sich die mitbeteiligte Partei über die Zustellung des Info-Mails und ersuchte gleichzeitig um eine Auskunft iSd. DSGVO sowie um Beantwortung diverser Fragen. Zudem führte die mitbeteiligte Partei aus, dass eine Datenübertragung in die USA unzulässig sei. Die Beschwerdeführerin reichte im Zuge des behördlichen Verfahrens die von der mitbeteiligten Partei begehrte Auskunft nach. 1.
Durch die Beschwerdeführerin wurden personenbezogene Daten der mitbeteiligten Partei – „Vor- und Nachname“ und „E-Mail-Adresse“ – sowohl an die XXXX als auch an XXXX weitergegeben. XXXX nutzte dies Daten zumindest am 07.03.2022 im Zuge des Versands des dem Verfahren zugrundeliegenden Informations- bzw. Werbe-E-Mails.1.
Durch die Beschwerdeführerin wurden personenbezogene Daten der mitbeteiligten Partei – „Vor- und Nachname“ und „E-Mail-Adresse“ – sowohl an die römisch 40 als auch an römisch 40 weitergegeben. römisch 40 nutzte dies Daten zumindest am 07.03.2022 im Zuge des Versands des dem Verfahren zugrundeliegenden Informations- bzw. Werbe-E-Mails. Die Beschwerdeführerin und XXXX haben ein „ XXXX Data Processing Agreement“ unterzeichnet, das die Beschwerdeführerin als Datenexporteurin und XXXX als Datenimporteurin bezeichnet und Bezug auf die Standardvertragsklauseln iSd. Durchführungsbeschlusses der Europäischen Kommission ((EU) 2021/914 vom 04.06.2021) nimmt.Die Beschwerdeführerin und römisch 40 haben ein „ römisch 40 Data Processing Agreement“ unterzeichnet, das die Beschwerdeführerin als Datenexporteurin und römisch 40 als Datenimporteurin bezeichnet und Bezug auf die Standardvertragsklauseln iSd. Durchführungsbeschlusses der Europäischen Kommission ((EU) 2021/914 vom 04.06.2021) nimmt. Die XXXX bedient sich der in Deutschland ansässigen XXXX als Sub-Dienstleisterin für vertragliche Marketingzwecke, die von Kunden wie der Beschwerdeführerin, in Anspruch genommen werden.Die römisch 40 bedient sich der in Deutschland ansässigen römisch 40 als Sub-Dienstleisterin für vertragliche Marketingzwecke, die von Kunden wie der Beschwerdeführerin, in Anspruch genommen werden. 1.
XXXX als Vertragspartnerin der Beschwerdeführerin implementierte diverse technische (Verschlüsselungen), vertragliche (Nutzungsbedingungen) als auch organisatorische (Speicher-Management-System) Maßnahmen im Sinne von „geeigneten Garantien“ iSd. Art. 46 DSGVO.1.
römisch 40 als Vertragspartnerin der Beschwerdeführerin implementierte diverse technische (Verschlüsselungen), vertragliche (Nutzungsbedingungen) als auch organisatorische (Speicher-Management-System) Maßnahmen im Sinne von „geeigneten Garantien“ iSd. Artikel 46, DSGVO. Weder zum Zeitpunkt des verfahrensgegenständlichen Vertragsabschlusses noch zum Zeitpunkt der Versendung des gegenständlichen Werbe-E-Mails durch XXXX gab es einen in Kraft befindlichen Angemessenheitsbeschluss der Europäischen Kommission iSd. Art. 45 DSGVO zum Transfer personenbezogener Daten in die USA.Weder zum Zeitpunkt des verfahrensgegenständlichen Vertragsabschlusses noch zum Zeitpunkt der Versendung des gegenständlichen Werbe-E-Mails durch römisch 40 gab es einen in Kraft befindlichen Angemessenheitsbeschluss der Europäischen Kommission iSd. Artikel 45, DSGVO zum Transfer personenbezogener Daten in die USA. 1.
Die Migration der Daten von Bestandskundinnen bzw. Bestandskunden der Beschwerdeführerin in europäische Rechenzentren erfolgte am
und
März
Beweiswürdigung: 2.
Die Feststellungen die Beschwerdeführerin betreffend (Punkt II.1.1.) basieren zum einen auf dem Akteninhalt der belangten Behörde, aus dem deren Unternehmensgegenstand hervorgeht sowie zum anderen auf einer gerichtlichen Nachschau im Impressum der Beschwerdeführerin auf deren Homepage im Internet. 2.
Die Feststellungen die Beschwerdeführerin betreffend (Punkt römisch zwei.1.1.) basieren zum einen auf dem Akteninhalt der belangten Behörde, aus dem deren Unternehmensgegenstand hervorgeht sowie zum anderen auf einer gerichtlichen Nachschau im Impressum der Beschwerdeführerin auf deren Homepage im Internet. 2.
Die Feststellungen zur mitbeteiligten Partei (Punkt II.1.2.) basieren auf deren Schilderungen im Rahmen der dem Bundesverwaltungsgericht vorliegenden Datenschutzbeschwerde sowie der insofern unstrittigen Darstellungen der Beschwerdeführerin. Die Beschwerdeführerin legte sowohl im verwaltungsbehördlichen Verfahren, als auch im verwaltungsgerichtlichen Verfahren Screenshots ihrer unternehmensinternen Verarbeitungsprogramme vor, aus denen die Kundeneigenschaft der mitbeteiligten Partei unzweifelhaft hervorgeht. 2.
Die Feststellungen zur mitbeteiligten Partei (Punkt römisch zwei.1.2.) basieren auf deren Schilderungen im Rahmen der dem Bundesverwaltungsgericht vorliegenden Datenschutzbeschwerde sowie der insofern unstrittigen Darstellungen der Beschwerdeführerin. Die Beschwerdeführerin legte sowohl im verwaltungsbehördlichen Verfahren, als auch im verwaltungsgerichtlichen Verfahren Screenshots ihrer unternehmensinternen Verarbeitungsprogramme vor, aus denen die Kundeneigenschaft der mitbeteiligten Partei unzweifelhaft hervorgeht. Dass der verfahrensgegenständliche Vertrag zum Zeitschriften-Abo telefonisch abgeschlossen wurde, es diesbezüglich jedoch keine Aufzeichnungen gibt und, dass es einer zusätzlichen Registrierung für die Onlineprodukte bedarf, die mitbeteiligte Partei eine solche jedoch nie durchführte, ergibt sich insbesondere aus der mündlichen Verhandlung vom 15.01.
Die mitbeteiligte Partei gab an, nie eine solche Registrierung vorgenommen zu haben und die Beschwerdeführerin konnte keine Aufzeichnungen zum Telefonat bzw. zu einer allfälligen Registrierung der mitbeteiligten Partei vorlegen. Ebenso wenig konnte die Beschwerdeführerin nachweisen, dass die mitbeteiligte Partei eine Information iSd. Art. 13 und 14 DSGVO erhielt. Die Beschwerdeführerin konnte weder vor der belangten Behörde noch vor dem erkennenden Gericht nachweisen, dass die mitbeteiligte Partei diese Informationen – insbesondere zur Übermittlung von personenbezogenen in Drittländer – erhalten hätte. Ebenso wenig konnte die Beschwerdeführerin nachweisen, dass die mitbeteiligte Partei eine Information iSd. Artikel 13 und 14 DSGVO erhielt. Die Beschwerdeführerin konnte weder vor der belangten Behörde noch vor dem erkennenden Gericht nachweisen, dass die mitbeteiligte Partei diese Informationen – insbesondere zur Übermittlung von personenbezogenen in Drittländer – erhalten hätte. Mit Schriftsatz vom 30.01.2026 legte die Beschwerdeführerin zwar diverse Dokumente vor, die im Zusammenhang mit den Abo-Verträgen der mitbeteiligten Partei stehen, allerdings kann aus diesen für das gegenständliche Verfahren nichts gewonnen werden. Dem von der Beschwerdeführerin als Beilage ./24 bezeichneten Dokument ist zwar ein Hinweis auf das Digital-Abo zu entnehmen, allerdings bezieht sich dieses Schreiben auf ein Abo, das vor dem gegenständlichen abgeschlossen wurde. Die Beschwerdeführerin beschreibt in ihrer Aktenvorlage, dass es ein Abo vom 01.04.2016 bis zum 15.04.2021 und ein Abo vom 30.04.2021 bis 29.04.2022 gab. Es kann jedoch vor dem Hintergrund des telefonischen Vertragsabschlusses, zu dem keine Aufzeichnungen vorliegen, nicht davon ausgegangen werden, dass die mitbeteiligte Partei auch mit Blick auf das spätere Abo alle Informationen iSd. DSGVO erhalten hat. Auch die Vorlage der AGB, die beim Abschluss des späteren Abos gegolten haben und auf die Datenschutzpolicy der Beschwerdeführerin verweisen, ist nichts gewonnen, da nicht nachgewiesen werden konnte, dass diese Vertragsinhalt wurden. Gleichsam hilft auch der Screenshot der Anmeldemaske für das Online-Konto nicht, da nicht nachgewiesen werden konnte, dass die mitbeteiligte Partei dieses Konto genutzt hat. Zudem hält die Beschwerdeführerin selbst fest, dass auf Rechnungen nicht mehr auf das E-Paper hingewiesen wurde, da dieses vom Print-Abo mitumfasst war und daher nicht mehr explizit ausgewiesen wurde. Auch hinsichtlich des ab Mai 2021 genutzten Software-Dienstleisters XXXX – und der damit angepassten Datenschutzpolicy – konnte keine entsprechende Information an die mitbeteiligte Partei vorgelegt werden. Mit Schriftsatz vom 30.01.2026 legte die Beschwerdeführerin zwar diverse Dokumente vor, die im Zusammenhang mit den Abo-Verträgen der mitbeteiligten Partei stehen, allerdings kann aus diesen für das gegenständliche Verfahren nichts gewonnen werden. Dem von der Beschwerdeführerin als Beilage ./24 bezeichneten Dokument ist zwar ein Hinweis auf das Digital-Abo zu entnehmen, allerdings bezieht sich dieses Schreiben auf ein Abo, das vor dem gegenständlichen abgeschlossen wurde. Die Beschwerdeführerin beschreibt in ihrer Aktenvorlage, dass es ein Abo vom 01.04.2016 bis zum 15.04.2021 und ein Abo vom 30.04.2021 bis 29.04.2022 gab. Es kann jedoch vor dem Hintergrund des telefonischen Vertragsabschlusses, zu dem keine Aufzeichnungen vorliegen, nicht davon ausgegangen werden, dass die mitbeteiligte Partei auch mit Blick auf das spätere Abo alle Informationen iSd. DSGVO erhalten hat. Auch die Vorlage der AGB, die beim Abschluss des späteren Abos gegolten haben und auf die Datenschutzpolicy der Beschwerdeführerin verweisen, ist nichts gewonnen, da nicht nachgewiesen werden konnte, dass diese Vertragsinhalt wurden. Gleichsam hilft auch der Screenshot der Anmeldemaske für das Online-Konto nicht, da nicht nachgewiesen werden konnte, dass die mitbeteiligte Partei dieses Konto genutzt hat. Zudem hält die Beschwerdeführerin selbst fest, dass auf Rechnungen nicht mehr auf das E-Paper hingewiesen wurde, da dieses vom Print-Abo mitumfasst war und daher nicht mehr explizit ausgewiesen wurde. Auch hinsichtlich des ab Mai 2021 genutzten Software-Dienstleisters römisch 40 – und der damit angepassten Datenschutzpolicy – konnte keine entsprechende Information an die mitbeteiligte Partei vorgelegt werden. Ebenso ergibt sich der Übergang vom ehemaligen Software-Service-Dienstleister zur hg. relevanten XXXX aus den insofern unstrittigen Angaben der Beschwerdeführerin.Ebenso ergibt sich der Übergang vom ehemaligen Software-Service-Dienstleister zur hg. relevanten römisch 40 aus den insofern unstrittigen Angaben der Beschwerdeführerin. 2.
Die Feststellungen bezüglich des Informations-E-Mails an die mitbeteiligte Partei vom 07.03.2022 basieren auf der dem Bundesverwaltungsgericht vorliegenden Datenschutzbeschwerde, in welcher ein Screenshot des E-Mails vorgelegt wurde. Dass ein paar der Textpassagen mit Verlinkungen zu anderen Webseiten hinterlegt waren, ergibt sich aus den dahingehend unstrittigen Vorbringen der Parteien. Die Feststellung, dass der Hyperlink des Textes „Von allen E-Mails abmelden“ zu einer von XXXX betriebenen Webseite führt, basiert zum einen auf dem insoweit unstrittigen Vorbringen der mitbeteiligten Partei und zum anderen auf der Vorlage eines Screenshots im Rahmen der Datenschutzbeschwerde. Dabei ist der Cursor auf den mit einem Hyperlink hinterlegten Text gerichtet und wird vom verwendeten Computerprogramm eine Vorschau des aufzurufenden URL dargestellt. Dieser enthält die Domain XXXX woraus sich der Bezug zu XXXX eindeutig ergibt. 2.
Die Feststellungen bezüglich des Informations-E-Mails an die mitbeteiligte Partei vom 07.03.2022 basieren auf der dem Bundesverwaltungsgericht vorliegenden Datenschutzbeschwerde, in welcher ein Screenshot des E-Mails vorgelegt wurde. Dass ein paar der Textpassagen mit Verlinkungen zu anderen Webseiten hinterlegt waren, ergibt sich aus den dahingehend unstrittigen Vorbringen der Parteien. Die Feststellung, dass der Hyperlink des Textes „Von allen E-Mails abmelden“ zu einer von römisch 40 betriebenen Webseite führt, basiert zum einen auf dem insoweit unstrittigen Vorbringen der mitbeteiligten Partei und zum anderen auf der Vorlage eines Screenshots im Rahmen der Datenschutzbeschwerde. Dabei ist der Cursor auf den mit einem Hyperlink hinterlegten Text gerichtet und wird vom verwendeten Computerprogramm eine Vorschau des aufzurufenden URL dargestellt. Dieser enthält die Domain römisch 40 woraus sich der Bezug zu römisch 40 eindeutig ergibt. 2.
Die Feststellungen zu II.1.
basieren auf den entsprechenden Vorbringen der Beschwerdeführerin sowie einer gerichtlichen Nachschau im Impressum von XXXX . Der Sitz der XXXX und die Feststellungen zur Unternehmensstruktur, soweit XXXX betroffen ist, basieren auf dem dahingehend unstrittigen Akt der belangten Behörde.2.
Die Feststellungen zu römisch zwei.1.
basieren auf den entsprechenden Vorbringen der Beschwerdeführerin sowie einer gerichtlichen Nachschau im Impressum von römisch 40 . Der Sitz der römisch 40 und die Feststellungen zur Unternehmensstruktur, soweit römisch 40 betroffen ist, basieren auf dem dahingehend unstrittigen Akt der belangten Behörde. 2.
Die Feststellung dahingehend, dass die mitbeteiligte Partei eine Datenschutzbeschwerde erhob und die Beschwerdeführerin im Zuge des verwaltungsbehördlichen Verfahrens die begehrte Auskunft der mitbeteiligten Partei nachreichte, ergibt sich aus dem insofern unstrittigen Verwaltungsakt. 2.
Dass die Beschwerdeführerin die personenbezogenen Daten „Vor- und Nachname“ und „E-Mail-Adresse“ verarbeitete und an XXXX weiterleitete basiert auf dem entsprechenden Vorbringen der Beschwerdeführerin im verwaltungsbehördlichen Verfahren sowie der erhobenen Beschwerde. Dass XXXX diese Daten zumindest am 07.03.2025 verarbeitet hat ergibt sich aus dem Datum der dem Verfahren zugrundeliegenden E-Mail von eben diesem Tag. Da XXXX für den Versand der E-Mail vertraglich zuständig war, wurden die Daten offensichtlich auch an diesem Tag für den Versand genutzt.2.
Dass die Beschwerdeführerin die personenbezogenen Daten „Vor- und Nachname“ und „E-Mail-Adresse“ verarbeitete und an römisch 40 weiterleitete basiert auf dem entsprechenden Vorbringen der Beschwerdeführerin im verwaltungsbehördlichen Verfahren sowie der erhobenen Beschwerde. Dass römisch 40 diese Daten zumindest am 07.03.2025 verarbeitet hat ergibt sich aus dem Datum der dem Verfahren zugrundeliegenden E-Mail von eben diesem Tag. Da römisch 40 für den Versand der E-Mail vertraglich zuständig war, wurden die Daten offensichtlich auch an diesem Tag für den Versand genutzt. Die Feststellung dahingehend, dass die Beschwerdeführerin personenbezogene Daten der mitbeteiligten Partei an XXXX übermittelte, damit diese in weiterer Folge Informations- bzw. Werbe-E-Mails versenden konnte basiert vor allem auf den von der Beschwerdeführerin vorgelegten Dokumenten. Diese legte unter anderem ein „ XXXX Data Processing Agreement“ vor, das von Vertretern der XXXX und der Beschwerdeführerin unterzeichnet wurde. Unter Annex 3 „List of Sub-Processors“ findet sich eine Tabelle, in der die XXXX als Sub-Processor angeführt wird, deren Aufgabe („Purpose“) Service und Unterstützung („Services & Support“) ist. Dabei wird XXXX explizit als „data importer“ und die Beschwerdeführerin explizit als „data exporter“ bezeichnet. Das erkennende Gericht geht daher davon aus, dass der Datenverarbeitungsvertrag zwischen der Beschwerdeführerin und XXXX selbst geschlossen wurde und die XXXX allenfalls als Auftragsverarbeiter der XXXX tätig wurde.Die Feststellung dahingehend, dass die Beschwerdeführerin personenbezogene Daten der mitbeteiligten Partei an römisch 40 übermittelte, damit diese in weiterer Folge Informations- bzw. Werbe-E-Mails versenden konnte basiert vor allem auf den von der Beschwerdeführerin vorgelegten Dokumenten. Diese legte unter anderem ein „ römisch 40 Data Processing Agreement“ vor, das von Vertretern der römisch 40 und der Beschwerdeführerin unterzeichnet wurde. Unter Annex 3 „List of Sub-Processors“ findet sich eine Tabelle, in der die römisch 40 als Sub-Processor angeführt wird, deren Aufgabe („Purpose“) Service und Unterstützung („Services & Support“) ist. Dabei wird römisch 40 explizit als „data importer“ und die Beschwerdeführerin explizit als „data exporter“ bezeichnet. Das erkennende Gericht geht daher davon aus, dass der Datenverarbeitungsvertrag zwischen der Beschwerdeführerin und römisch 40 selbst geschlossen wurde und die römisch 40 allenfalls als Auftragsverarbeiter der römisch 40 tätig wurde. Diese Ansicht verstärkt sich zudem durch das Vorbringen der Beschwerdeführerin in ihrer ergänzenden Stellungnahme vom 08.09.2022 in der sie darlegte, dass aufgrund der globalen Ausrichtung von XXXX nicht ausgeschlossen werden könne, dass Daten in die USA übermittelt wurden. Diese Ansicht verstärkt sich zudem durch das Vorbringen der Beschwerdeführerin in ihrer ergänzenden Stellungnahme vom 08.09.2022 in der sie darlegte, dass aufgrund der globalen Ausrichtung von römisch 40 nicht ausgeschlossen werden könne, dass Daten in die USA übermittelt wurden. Diesbezüglich ist weiters zu berücksichtigen: Die Beschwerdeführerin legte unter anderem eine Information von XXXX vor, die „das neue EU-Rechenzentrum von XXXX “ betreffe. Daraus geht hervor, dass die personenbezogenen Daten neuer Kundinnen und Kunden ab Juli 2021 in einem neuen EU-Rechenzentrum verarbeitet werden und für die Daten bestehender Kundinnen und Kunden eine Datenmigration ab 2022 vorgesehen sei. Nach Ansicht des erkennenden Gerichts wird dadurch impliziert, dass die Daten europäischer Kundinnen und Kunden bis 2022 eben nicht (ausschließlich) in der EU verarbeitet wurden und offensichtlich in einem Drittland verarbeitet wurden. Durch ergänzende Stellungnahme der Beschwerdeführerin vom 28.03.2023 wurde mitgeteilt, dass eben diese anvisierte Datenmigration am 23./
März 2023 stattfand. Diesbezüglich ist weiters zu berücksichtigen: Die Beschwerdeführerin legte unter anderem eine Information von römisch 40 vor, die „das neue EU-Rechenzentrum von römisch 40 “ betreffe. Daraus geht hervor, dass die personenbezogenen Daten neuer Kundinnen und Kunden ab Juli 2021 in einem neuen EU-Rechenzentrum verarbeitet werden und für die Daten bestehender Kundinnen und Kunden eine Datenmigration ab 2022 vorgesehen sei. Nach Ansicht des erkennenden Gerichts wird dadurch impliziert, dass die Daten europäischer Kundinnen und Kunden bis 2022 eben nicht (ausschließlich) in der EU verarbeitet wurden und offensichtlich in einem Drittland verarbeitet wurden. Durch ergänzende Stellungnahme der Beschwerdeführerin vom 28.03.2023 wurde mitgeteilt, dass eben diese anvisierte Datenmigration am 23./
März 2023 stattfand. Die Feststellung dahingehend, dass die Beschwerdeführerin und XXXX ein Data-Processing-Agreement geschlossen haben, das Bezug auf die Standarddatenschutzklauseln der Europäischen Kommission ((EU) 2021/914 vom 04.06.2021) nimmt, basiert wiederum auf den von der Beschwerdeführerin vorgelegten und auch von ihr unterzeichneten Dokumenten.Die Feststellung dahingehend, dass die Beschwerdeführerin und römisch 40 ein Data-Processing-Agreement geschlossen haben, das Bezug auf die Standarddatenschutzklauseln der Europäischen Kommission ((EU) 2021/914 vom 04.06.2021) nimmt, basiert wiederum auf den von der Beschwerdeführerin vorgelegten und auch von ihr unterzeichneten Dokumenten. Im Rahmen der mündlichen Verhandlung vom 15.01.2026 führte die Rechtsvertreterin der Beschwerdeführerin zwar aus, dass aus den Dokumenten zwar hervorgehe, dass der Datenverarbeitungsvertrag mit XXXX abgeschlossen worden sei, die personenbezogenen Daten jedoch faktisch nur nach Deutschland übermittelt worden seien. Das Datenschutzrecht beziehe sich auf tatsächliche Datenverarbeitungen und Gegebenheiten und nicht auf vertragliche Definitionen oder Rollen.Im Rahmen der mündlichen Verhandlung vom 15.01.2026 führte die Rechtsvertreterin der Beschwerdeführerin zwar aus, dass aus den Dokumenten zwar hervorgehe, dass der Datenverarbeitungsvertrag mit römisch 40 abgeschlossen worden sei, die personenbezogenen Daten jedoch faktisch nur nach Deutschland übermittelt worden seien. Das Datenschutzrecht beziehe sich auf tatsächliche Datenverarbeitungen und Gegebenheiten und nicht auf vertragliche Definitionen oder Rollen. Diesem Argument kann sich der erkennende Senat jedoch nicht anschließen. Die vertragliche Ausgestaltung indiziert zweifellos eine Datenübermittlung in die USA – inwiefern die tatsächliche Rollenverteilung zwischen der Beschwerdeführerin und XXXX im Zuge der Zusammenarbeit von der vertraglichen Ausgestaltung abweichen soll, konnte die Beschwerdeführerin nicht restlos aufklären. Wie bereits dargelegt, wurde die Rolle der deutschen XXXX lediglich als „Service & Support“ ausgestaltet, weshalb davon auszugehen ist, dass die personenbezogenen Daten zur Vertragserfüllung auch in die USA übermittelt wurden. Diesem Argument kann sich der erkennende Senat jedoch nicht anschließen. Die vertragliche Ausgestaltung indiziert zweifellos eine Datenübermittlung in die USA – inwiefern die tatsächliche Rollenverteilung zwischen der Beschwerdeführerin und römisch 40 im Zuge der Zusammenarbeit von der vertraglichen Ausgestaltung abweichen soll, konnte die Beschwerdeführerin nicht restlos aufklären. Wie bereits dargelegt, wurde die Rolle der deutschen römisch 40 lediglich als „Service & Support“ ausgestaltet, weshalb davon auszugehen ist, dass die personenbezogenen Daten zur Vertragserfüllung auch in die USA übermittelt wurden. Darüber hinaus legt auch die Argumentation im Laufe des verwaltungsbehördlichen und verwaltungsgerichtlichen Verfahrens nahe, dass eine Übermittlung personenbezogener Daten in USA stattfand. Zum einen führte die Beschwerdeführerin in ihrer Stellungnahme vom 08.09.2022 und in ihrer gegenständlichen Beschwerde aus, dass „nicht ausgeschlossen werden könne“, dass Daten in die USA übermittelt wurden. Zum anderen wurde regelmäßig betont, dass nach der Datenmigration in europäische Rechenzentren keine Daten mehr in den USA verarbeitet würden. 2.
Die Feststellungen zu den von der Beschwerdeführerin und XXXX implementierten Maßnahmen, um einen geeigneten Schutz der personenbezogenen Daten garantieren zu können – technische, vertragliche und organisatorische Maßnahmen – basieren auf dem entsprechenden Vorbringen der Beschwerdeführerin im Rahmen der Beschwerde und des gesamten verwaltungsbehördlichen Verfahrens sowie der vorgelegten Dokumente.2.
Die Feststellungen zu den von der Beschwerdeführerin und römisch 40 implementierten Maßnahmen, um einen geeigneten Schutz der personenbezogenen Daten garantieren zu können – technische, vertragliche und organisatorische Maßnahmen – basieren auf dem entsprechenden Vorbringen der Beschwerdeführerin im Rahmen der Beschwerde und des gesamten verwaltungsbehördlichen Verfahrens sowie der vorgelegten Dokumente. 2.
Die Feststellungen zur Datenmigration basieren auf einer entsprechenden Stellungnahme der Beschwerdeführerin.
Rechtliche Beurteilung: Im gegenständlichen Verfahren geht es um eine Datenübermittlung in ein Drittland iSd. Kapitels V DSGVO sowie um eine Verletzung von Informationspflichten iSd. Art. 13 DSGVO. Die Beschwerdeführerin bringt zusammengefasst vor, dass die erfolgte Datenübermittlung in die USA zulässig war, da aufgrund der vertraglichen Ausgestaltung der Übermittlung geeignete Garantien bestanden, um das Datenschutzniveau der Europäischen Union nicht zu untergraben. Hinsichtlich der Informationspflichten iSd. Art. 13 DSGVO sei der von der belangten Behörde festgestellte Sachverhalt ergänzungsbedürftig. Im gegenständlichen Verfahren geht es um eine Datenübermittlung in ein Drittland iSd. Kapitels römisch fünf DSGVO sowie um eine Verletzung von Informationspflichten iSd. Artikel 13, DSGVO. Die Beschwerdeführerin bringt zusammengefasst vor, dass die erfolgte Datenübermittlung in die USA zulässig war, da aufgrund der vertraglichen Ausgestaltung der Übermittlung geeignete Garantien bestanden, um das Datenschutzniveau der Europäischen Union nicht zu untergraben. Hinsichtlich der Informationspflichten iSd. Artikel 13, DSGVO sei der von der belangten Behörde festgestellte Sachverhalt ergänzungsbedürftig. Zu A) Zu Spruchpunkt IZu Spruchpunkt römisch eins 3.
Der Umstand, dass es sich bei der Beschwerdeführerin um die „Verantwortliche“ iSd. Art. 4 Z 7 DSGVO handelt und im gegenständlichen Sachverhalt auch personenbezogene Daten iSd. Art. 4 Z 1 DSGVO in Rede stehen ist soweit unstrittig. Vielmehr ist zu klären, ob eine (un)zulässige Datenübermittlung in die USA stattgefunden hat und, ob die mitbeteiligte Partei in ihrem Recht auf Auskunft iSd. Art. 13 DSGVO verletzt wurde. 3.
Der Umstand, dass es sich bei der Beschwerdeführerin um die „Verantwortliche“ iSd. Artikel 4, Ziffer 7, DSGVO handelt und im gegenständlichen Sachverhalt auch personenbezogene Daten iSd. Artikel 4, Ziffer eins, DSGVO in Rede stehen ist soweit unstrittig. Vielmehr ist zu klären, ob eine (un)zulässige Datenübermittlung in die USA stattgefunden hat und, ob die mitbeteiligte Partei in ihrem Recht auf Auskunft iSd. Artikel 13, DSGVO verletzt wurde. 3.
Art. 5 DSGVO regelt die Grundsätze für die Verarbeitung personenbezogener Daten und normiert in Abs. 1 zusammengefasst, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und transparent verarbeitet werden müssen (lit. a); für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen (lit. b); dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt werden müssen (lit. c); sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen (lit. d); in einer Form gespeichert werden, die die Identifizierung der betroffenen Person nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist (lit. e) und in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet (lit. f). Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung des Abs. 1 nachweisen können.3.
Artikel 5, DSGVO regelt die Grundsätze für die Verarbeitung personenbezogener Daten und normiert in Absatz eins, zusammengefasst, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und transparent verarbeitet werden müssen (Litera a,); für festgelegte, eindeutige und legitime Zwecke erhoben werden müssen und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen (Litera b,); dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt werden müssen (Litera c,); sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen (Litera d,); in einer Form gespeichert werden, die die Identifizierung der betroffenen Person nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist (Litera e,) und in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet (Litera f,). Nach Artikel 5, Absatz 2, DSGVO muss der Verantwortliche die Einhaltung des Absatz eins, nachweisen können. Korrelierend dazu hielt der EuGH in seiner Rechtsprechung fest, dass sich die DSGVO grundsätzlich an „Verantwortliche“ richtet und diese nicht nur geeignete und wirksame Maßnahmen zum Schutz personenbezogener Maßnahmen treffen müssen, sondern auch nachweisen können müssen, dass ihre Verarbeitungstätigkeit im Einklang mit der DSGVO steht. (vgl. EuGH 05.12.2023, C-807/21 [Deutsche Wohnen] Rz 38; EuGH 24.02.2022, C-175/20 [„SS“ SIA] Rz 77; EuGH 04.07.2023, C-252/21 [Meta/Bundeskartellamt] Rz 95)Korrelierend dazu hielt der EuGH in seiner Rechtsprechung fest, dass sich die DSGVO grundsätzlich an „Verantwortliche“ richtet und diese nicht nur geeignete und wirksame Maßnahmen zum Schutz personenbezogener Maßnahmen treffen müssen, sondern auch nachweisen können müssen, dass ihre Verarbeitungstätigkeit im Einklang mit der DSGVO steht. vergleiche EuGH 05.12.2023, C-807/21 [Deutsche Wohnen] Rz 38; EuGH 24.02.2022, C-175/20 [„SS“ SIA] Rz 77; EuGH 04.07.2023, C-252/21 [Meta/Bundeskartellamt] Rz 95) 3.
Kapitel V der DSGVO regelt die Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen.3.
Kapitel römisch fünf der DSGVO regelt die Übermittlungen personenbezogener Daten an Drittländer oder an internationale Organisationen.

Art. 44

DSGVO ist eine Übermittlung in ein Drittland grundsätzlich nur dann zulässig, wenn der Verantwortliche bzw. Auftragsverarbeiter die Bedingungen des Kapitel V einhält und auch die sonstigen Bestimmungen der DSGVO eingehalten werden. Das durch die DSGVO gewährleistete Schutzniveau darf nicht untergraben werden.

Artikel 44

, DSGVO ist eine Übermittlung in ein Drittland grundsätzlich nur dann zulässig, wenn der Verantwortliche bzw. Auftragsverarbeiter die Bedingungen des Kapitel römisch fünf einhält und auch die sonstigen Bestimmungen der DSGVO eingehalten werden. Das durch die DSGVO gewährleistete Schutzniveau darf nicht untergraben werden.

Art. 45DSGVO darf eine Übermittlung i

Sd. Art. 44 DSGVO vorgenommen werden, wenn die Kommission beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet. Eine solche Datenübermittlung bedarf keiner besonderen Genehmigung.

Artikel 45, DSGVO darf eine Übermittlung i

Sd. Artikel 44, DSGVO vorgenommen werden, wenn die Kommission beschlossen hat, dass das betreffende Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland oder die betreffende internationale Organisation ein angemessenes Schutzniveau bietet. Eine solche Datenübermittlung bedarf keiner besonderen Genehmigung. Liegt kein Beschluss iSd. Art. 45 DSGVO vor, darf

Art. 46

DSGVO ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.Liegt kein Beschluss iSd. Artikel 45, DSGVO vor, darf

Artikel 46

, DSGVO ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. Art. 49 DSGVO sieht für den Fall, dass kein Angemessenheitsbeschluss iSd. Art. 45 DSGVO oder keine geeigneten Garantien iSd. Art. 46 DSGVO vorliegen, vor, dass eine Übermittlung oder Reihe von Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation nur unter bestimmten, näher bezeichneten Bedingungen zulässig sind.Artikel 49, DSGVO sieht für den Fall, dass kein Angemessenheitsbeschluss iSd. Artikel 45, DSGVO oder keine geeigneten Garantien iSd. Artikel 46, DSGVO vorliegen, vor, dass eine Übermittlung oder Reihe von Übermittlungen personenbezogener Daten an ein Drittland oder eine internationale Organisation nur unter bestimmten, näher bezeichneten Bedingungen zulässig sind. 3.4. Im Sinne der Leitlinien 5/2021 über das Zusammenspiel zwischen der Anwendung des Artikels 3 und der Bestimmungen über internationale Übermittlungen nach Kapitel V DSGVO des European Data Protection Board (Version 2.0., 14.02.2023; idF „Leitlinien“) gibt es drei kumulative Kriterien, anhand derer festgestellt werden kann, ob es sich bei einem Verarbeitungsvorgang um eine Übermittlung iSd. Kapitel V DSGVO handelt: (i) ein Verantwortlicher oder Auftragsverarbeiter (Exporteur) unterliegt für die betreffende Verarbeitung des DSGVO, (ii) der Exporteur legt personenbezogene Daten, die Gegenstand dieser Verarbeitung sind, durch Übertragung oder auf andere Weise, gegenüber einem anderen Verantwortlichen, gemeinsam Verantwortlichen oder Auftragsverarbeiter („Importeur“) offen, (iii) der Importeur befindet sich in einem Drittland, unabhängig davon, ob dieser Importeur für die betreffende Verarbeitung

Artikel 3

der DSGVO unterliegt, oder der Importeur ist eine internationale Organisation.3.4. Im Sinne der Leitlinien 5 aus 2021, über das Zusammenspiel zwischen der Anwendung des Artikels 3 und der Bestimmungen über internationale Übermittlungen nach Kapitel römisch fünf DSGVO des European Data Protection Board (Version 2.0., 14.02.2023; in der Fassung „Leitlinien“) gibt es drei kumulative Kriterien, anhand derer festgestellt werden kann, ob es sich bei einem Verarbeitungsvorgang um eine Übermittlung iSd. Kapitel römisch fünf DSGVO handelt: (

i)ein Verantwortlicher oder Auftragsverarbeiter (Exporteur) unterliegt für die betreffende Verarbeitung des DSGVO, (
ii)der Exporteur legt personenbezogene Daten, die Gegenstand dieser Verarbeitung sind, durch Übertragung oder auf andere Weise, gegenüber einem anderen Verantwortlichen, gemeinsam Verantwortlichen oder Auftragsverarbeiter („Importeur“) offen, (iii) der Importeur befindet sich in einem Drittland, unabhängig davon, ob dieser Importeur für die betreffende Verarbeitung

Artikel 3der DSGVO unterliegt, oder der Importeur ist eine internationale Organisation.

Aus Art. 8 Abs. 1 EU-GRC ergibt sich eine Pflicht zur Perpetuierung des unionsrechtlichen Schutzniveaus (EuGH 06.10.2015, C-362/14 (Schrems I), Rz 72). Die gegenständlichen Bestimmungen regeln die Bedingungen, welche es einem Verantwortlichen oder Auftragsverarbeiter (Exporteur) erlauben, personenbezogene Daten in ein Drittland zu übermitteln. Der nicht legaldefinierte Begriff der Übermittlung ist im Rahmen der Art. 44 ff schutzzweckbezogen zu verstehen. Er umfasst daher jede Weitergabe von personenbezogenen Daten an eine Stelle außerhalb des Territoriums der Europäischen Union oder an eine internationale Organisation (Kühling/Buchner, DSGVO·BDSG3, Art. 44, Rz 16; Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 44 DSGVO (Stand 1.12.2020, rdb.at), Rz 18).Aus Artikel 8, Absatz eins, EU-GRC ergibt sich eine Pflicht zur Perpetuierung des unionsrechtlichen Schutzniveaus (EuGH 06.10.2015, C-362/14 (Schrems römisch eins), Rz 72). Die gegenständlichen Bestimmungen regeln die Bedingungen, welche es einem Verantwortlichen oder Auftragsverarbeiter (Exporteur) erlauben, personenbezogene Daten in ein Drittland zu übermitteln. Der nicht legaldefinierte Begriff der Übermittlung ist im Rahmen der Artikel 44, ff schutzzweckbezogen zu verstehen. Er umfasst daher jede Weitergabe von personenbezogenen Daten an eine Stelle außerhalb des Territoriums der Europäischen Union oder an eine internationale Organisation (Kühling/Buchner, DSGVO·BDSG3, Artikel 44,, Rz 16; Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 44, DSGVO (Stand 1.12.2020, rdb.at), Rz 18). 3.5. In der Entscheidung C-311/18 vom 16.07.2020 (Schrems II) beschäftigte sich der EuGH intensiv mit Kapitel V der DSGVO und der Frage, unter welchen Voraussetzungen eine Übermittlung personenbezogener Daten in Drittländer zulässig ist. Sowohl im Urteil des EuGH, als auch im verfahrensgegenständlichen Sachverhalt geht es um eine Datenübermittlung in die USA. 3.5. In der Entscheidung C-311/18 vom 16.07.2020 (Schrems römisch zwei) beschäftigte sich der EuGH intensiv mit Kapitel römisch fünf der DSGVO und der Frage, unter welchen Voraussetzungen eine Übermittlung personenbezogener Daten in Drittländer zulässig ist. Sowohl im Urteil des EuGH, als auch im verfahrensgegenständlichen Sachverhalt geht es um eine Datenübermittlung in die USA. Das zu C-311/18 verfahrensgegenständliche Vorabentscheidungsersuchen betraf zum einen die Auslegung von Art. 3 Abs. 2, 25, 26 und 28 Abs. 3 der Richtlinie 95/46/EG im Lichte von Art. 4 Abs. 2 EUV sowie Art. 7, 8 und 47 der EU-GRC. Zum anderen betraf es die Auslegung und Gültigkeit des Beschlusses 2010/87/EU betreffend Standardvertragsklauseln (SDK-Beschluss) sowie die Auslegung und Gültigkeit des Durchführungsbeschlusses (EU) 2016/1250 betreffend die Angemessenheit des vom EU-US-Datenschutzschild (DSS-Beschluss) gebotenen Schutzes. Das zu C-311/18 verfahrensgegenständliche Vorabentscheidungsersuchen betraf zum einen die Auslegung von Artikel 3, Absatz 2, 25, 26 und 28 Absatz 3, der Richtlinie 95/46/EG im Lichte von Artikel 4, Absatz 2, EUV sowie Artikel 7, 8 und 47 der EU-GRC. Zum anderen betraf es die Auslegung und Gültigkeit des Beschlusses 2010/87/EU betreffend Standardvertragsklauseln (SDK-Beschluss) sowie die Auslegung und Gültigkeit des Durchführungsbeschlusses (EU) 2016/1250 betreffend die Angemessenheit des vom EU-US-Datenschutzschild (DSS-Beschluss) gebotenen Schutzes. Ausgangspunkt des Urteils war ein Beschwerdeverfahren des Herrn Schrems vor dem High Court of Ireland in welchem er im Wesentlichen vorbrachte, dass der SDK-Beschluss der Kommission keinen geeigneten Schutz personenbezogener Daten vor dem Zugriff durch US-Behörden iSd. Art. 7, 8 und 47 GRC biete. Unionsbürger besäßen demnach nicht die gleichen Rechte wie US-Staatsbürger. Ausgangspunkt des Urteils war ein Beschwerdeverfahren des Herrn Schrems vor dem High Court of Ireland in welchem er im Wesentlichen vorbrachte, dass der SDK-Beschluss der Kommission keinen geeigneten Schutz personenbezogener Daten vor dem Zugriff durch US-Behörden iSd. Artikel 7, 8 und 47 GRC biete. Unionsbürger besäßen demnach nicht die gleichen Rechte wie US-Staatsbürger. Aus dem Urteil folgt, dass Datenübertragungen aus der EU ins EU-Ausland grundsätzlich der DSGVO unterliegen, auch dann, wenn die Daten im Ausland für Zwecke der öffentlichen Sicherheit, der Landesverteidigung und der Sicherheit des Staates verarbeitet werden können. (Rz 89) Hinsichtlich des Schutzniveaus, das bei einer Datenübertragung iSd. Art. 46 Abs. 1 und Abs.2 lit. c DSGVO bestehen muss, führte der EuGH aus, Art. 46 DSGVO präzisiere zwar nicht die Art der Anforderungen, die sich aus der Bezugnahme auf „geeignete Garantien“, „durchsetzbare Rechte“ und „wirksame Rechtsbehelfe“ ergeben, das gewährleistete Schutzniveau der DSGVO dürfe jedoch nicht untergraben werden. Das Schutzniveau des Drittstaates muss dabei nicht identisch mit jenem der Unionsrechtsordnung sein, muss aber in Anbetracht der nationalen Rechtsordnung einen Schutz bieten, der jenem der DSGVO im Lichte der GRC gleichwertig ist. Bei der insoweit im Zusammenhang mit einer solchen Übermittlung erforderlichen Beurteilung sind insbesondere die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Unionansässigen Verantwortlichen bzw. seinem dort ansässigen Auftragsverarbeiter und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, sowie, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten personenbezogenen Daten betrifft, die maßgeblichen Elemente der Rechtsordnung dieses Landes. (Rz 90 ff)Hinsichtlich des Schutzniveaus, das bei einer Datenübertragung iSd. Artikel 46, Absatz eins und Absatz 2, Litera c, DSGVO bestehen muss, führte der EuGH aus, Artikel 46, DSGVO präzisiere zwar nicht die Art der Anforderungen, die sich aus der Bezugnahme auf „geeignete Garantien“, „durchsetzbare Rechte“ und „wirksame Rechtsbehelfe“ ergeben, das gewährleistete Schutzniveau der DSGVO dürfe jedoch nicht untergraben werden. Das Schutzniveau des Drittstaates muss dabei nicht identisch mit jenem der Unionsrechtsordnung sein, muss aber in Anbetracht der nationalen Rechtsordnung einen Schutz bieten, der jenem der DSGVO im Lichte der GRC gleichwertig ist. Bei der insoweit im Zusammenhang mit einer solchen Übermittlung erforderlichen Beurteilung sind insbesondere die vertraglichen Regelungen zu berücksichtigen, die zwischen dem in der Unionansässigen Verantwortlichen bzw. seinem dort ansässigen Auftragsverarbeiter und dem im betreffenden Drittland ansässigen Empfänger der Übermittlung vereinbart wurden, sowie, was einen etwaigen Zugriff der Behörden dieses Drittlands auf die übermittelten personenbezogenen Daten betrifft, die maßgeblichen Elemente der Rechtsordnung dieses Landes. (Rz 90

ff)Mit Blick auf den SDK-Beschluss hielt der Gerichtshof fest, dass unstrittig sei, dass die Standarddatenschutzklauseln gegenüber Behörden eines Drittlandes keine Wirkung entfalten können, da diese keine Vertragspartei sind. Insofern können die Standarddatenschutzklauseln mit Blick auf die nationale Rechtsordnung des Drittstaates einen ausreichenden Datenschutz garantieren oder eben auch nicht. So verhält es sich beispielsweise, wenn das Recht des Drittstaates dessen Behörden Eingriffe in die Rechte der betroffenen Personen bezüglich dieser Daten erlaubt. Die Garantien, die eine betroffene Person iSd. Art. 46 Abs. 1 DSGVO hat, müssen aber nicht zwangsläufig in einem Beschluss der Kommission wie dem SDK-Beschluss vorgesehen sein. Insoweit unterscheidet sich ein solcher Beschluss von einem nach Art. 45 Abs. 3 der DSGVO ergangenen Angemessenheitsbeschluss, der darauf abzielt – im Anschluss an eine Untersuchung des Rechts des betreffenden Drittlands, bei der insbesondere die maßgeblichen Vorschriften im Bereich der nationalen Sicherheit und des Zugangs der Behörden zu personenbezogenen Daten berücksichtigt werden –, verbindlich festzustellen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland ein angemessenes Schutzniveau bieten, so dass der Zugang der Behörden dieses Landes zu solchen Daten ihrer Übermittlung in dieses Land nicht entgegensteht. Insofern kann aus Art. 46 DSGVO nicht abgeleitet werden, dass die Kommission verpflichtet wäre, vor einem Erlass zu Standarddatenschutzklauseln die Angemessenheit des Schutzniveaus des Drittlandes zu beurteilen. Es ist bei Nichtvorliegen eines Angemessenheitsbeschlusses daher Sache des Daten exportierenden, in der EU ansässigen Verantwortlichen, geeignete Garantien vorzusehen. Insoweit kann die Notwendigkeit bestehen, Standarddatenschutzklauseln durch zusätzliche Garantien zu ergänzen. (Rz 122 ff)Mit Blick auf den SDK-Beschluss hielt der Gerichtshof fest, dass unstrittig sei, dass die Standarddatenschutzklauseln gegenüber Behörden eines Drittlandes keine Wirkung entfalten können, da diese keine Vertragspartei sind. Insofern können die Standarddatenschutzklauseln mit Blick auf die nationale Rechtsordnung des Drittstaates einen ausreichenden Datenschutz garantieren oder eben auch nicht. So verhält es sich beispielsweise, wenn das Recht des Drittstaates dessen Behörden Eingriffe in die Rechte der betroffenen Personen bezüglich dieser Daten erlaubt. Die Garantien, die eine betroffene Person iSd. Artikel 46, Absatz eins, DSGVO hat, müssen aber nicht zwangsläufig in einem Beschluss der Kommission wie dem SDK-Beschluss vorgesehen sein. Insoweit unterscheidet sich ein solcher Beschluss von einem nach Artikel 45, Absatz 3, der DSGVO ergangenen Angemessenheitsbeschluss, der darauf abzielt – im Anschluss an eine Untersuchung des Rechts des betreffenden Drittlands, bei der insbesondere die maßgeblichen Vorschriften im Bereich der nationalen Sicherheit und des Zugangs der Behörden zu personenbezogenen Daten berücksichtigt werden –, verbindlich festzustellen, dass ein Drittland, ein Gebiet oder ein oder mehrere spezifische Sektoren in diesem Drittland ein angemessenes Schutzniveau bieten, so dass der Zugang der Behörden dieses Landes zu solchen Daten ihrer Übermittlung in dieses Land nicht entgegensteht. Insofern kann aus Artikel 46, DSGVO nicht abgeleitet werden, dass die Kommission verpflichtet wäre, vor einem Erlass zu Standarddatenschutzklauseln die Angemessenheit des Schutzniveaus des Drittlandes zu beurteilen. Es ist bei Nichtvorliegen eines Angemessenheitsbeschlusses daher Sache des Daten exportierenden, in der EU ansässigen Verantwortlichen, geeignete Garantien vorzusehen. Insoweit kann die Notwendigkeit bestehen, Standarddatenschutzklauseln durch zusätzliche Garantien zu ergänzen. (Rz 122
ff)Schließlich hat sich der Gerichtshof näher mit dem DSS-Beschluss der Kommission auseinandergesetzt und sich dabei insbesondere mit den vom vorlegenden Gericht aufgeworfenen Bedenken beschäftigt, wonach der Rechtsschutz betroffener Personen gegenüber US-Behörden nicht gleichwertig mit jenem nach Unionsrecht sei. Die amerikanische Regierung räumte auf Nachfrage durch den Gerichtshof ein, dass die Presidential Policy Directive 28 („PPD-28“), welche unter anderem die Zugriffsmodalitäten der US-Behörden auf Daten regelt, betroffenen Personen keine Rechte verleihe, die gegenüber diesen Behörden gerichtlich durchgesetzt werden könnten. Auch die für Datenverarbeitungen relevante Executive Order 12333 verleiht betroffenen Personen hinsichtlich Überwachungsprogrammen der US-Behörden keine Rechte, die gerichtlich durchgesetzt werden könnten. Es ist insgesamt davon auszugehen, dass weder Section 702 des FISA noch die E.O. 12333 in Verbindungmit der PPD-28 den im Unionsrecht nach dem Grundsatz der Verhältnismäßigkeit bestehenden Mindestanforderungen genügen, so dass nicht angenommen werden kann, dass die auf diese Vorschriften gestützten Überwachungsprogramme auf das zwingend erforderliche Maß beschränkt sind und sohin nicht vereinbar mit Art. 52 Abs. 1 Satz 2 GRC sind. Die Schaffung einer mit Datenschutzagenden befassten Ombudsmechanismus vermochte diesem Defizit nicht abzuhelfen. (Rz 150 ff)Schließlich hat sich der Gerichtshof näher mit dem DSS-Beschluss der Kommission auseinandergesetzt und sich dabei insbesondere mit den vom vorlegenden Gericht aufgeworfenen Bedenken beschäftigt, wonach der Rechtsschutz betroffener Personen gegenüber US-Behörden nicht gleichwertig mit jenem nach Unionsrecht sei. Die amerikanische Regierung räumte auf Nachfrage durch den Gerichtshof ein, dass die Presidential Policy Directive 28 („PPD-28“), welche unter anderem die Zugriffsmodalitäten der US-Behörden auf Daten regelt, betroffenen Personen keine Rechte verleihe, die gegenüber diesen Behörden gerichtlich durchgesetzt werden könnten. Auch die für Datenverarbeitungen relevante Executive Order 12333 verleiht betroffenen Personen hinsichtlich Überwachungsprogrammen der US-Behörden keine Rechte, die gerichtlich durchgesetzt werden könnten. Es ist insgesamt davon auszugehen, dass weder Section 702 des FISA noch die E.O. 12333 in Verbindungmit der PPD-28 den im Unionsrecht nach dem Grundsatz der Verhältnismäßigkeit bestehenden Mindestanforderungen genügen, so dass nicht angenommen werden kann, dass die auf diese Vorschriften gestützten Überwachungsprogramme auf das zwingend erforderliche Maß beschränkt sind und sohin nicht vereinbar mit Artikel 52, Absatz eins, Satz 2 GRC sind. Die Schaffung einer mit Datenschutzagenden befassten Ombudsmechanismus vermochte diesem Defizit nicht abzuhelfen. (Rz 150
ff)3.6. Mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 erließ die Kommission das „Data-Privacy-Framework“ und damit einen neuerlichen Angemessenheitsbeschluss iSd. Art. 45 Abs. 3 DSGVO hinsichtlich Datenübertragungen in die USA. Verfahrensgegenständlich ist dieser Beschluss jedoch irrelevant, da dieser nach der verfahrensgegenständlichen Datenverarbeitung erlassen wurde. 3.6. Mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 erließ die Kommission das „Data-Privacy-Framework“ und damit einen neuerlichen Angemessenheitsbeschluss iSd. Artikel 45, Absatz 3, DSGVO hinsichtlich Datenübertragungen in die USA. Verfahrensgegenständlich ist dieser Beschluss jedoch irrelevant, da dieser nach der verfahrensgegenständlichen Datenverarbeitung erlassen wurde. 3.7.

Art. 46Abs. 1 DSGVO darf ein Verantwortlicher für den Fall, dass kein Angemessenheitsbeschluss der Kommission i

Sd. Art. 45 Abs. 3 DSGVO vorliegt, personenbezogene Daten nur dann in ein Drittland übermitteln, wenn geeignete Garantien vorgesehen werden und den betroffenen Personen durchsetzbare Recht und wirksame Rechtsbehelfe zur Verfügung stehen. Die Abs. 2 und 3 des Art. 46 DSGVO sehen sodann Maßnahmen vor, die geeignete Garantien darstellen können. 3.7.

Artikel 46, Absatz eins, DSGVO darf ein Verantwortlicher für den Fall, dass kein Angemessenheitsbeschluss der Kommission i

Sd. Artikel 45, Absatz 3, DSGVO vorliegt, personenbezogene Daten nur dann in ein Drittland übermitteln, wenn geeignete Garantien vorgesehen werden und den betroffenen Personen durchsetzbare Recht und wirksame Rechtsbehelfe zur Verfügung stehen. Die Absatz 2 und 3 des Artikel 46, DSGVO sehen sodann Maßnahmen vor, die geeignete Garantien darstellen können. Art. 46 Abs. 2 lit. c DSGVO normiert, dass Standarddatenschutzklauseln, die von der Kommission

dem Prüfverfahren nach Art. 93 Abs. 2 DSGVO erlassen werden, geeignete Garantien darstellen können. Artikel 46, Absatz 2, Litera c, DSGVO normiert, dass Standarddatenschutzklauseln, die von der Kommission

dem Prüfverfahren nach Artikel 93, Absatz 2, DSGVO erlassen werden, geeignete Garantien darstellen können. Im oben erwähnten Urteil des EuGH vom 16.07.2020 (Schrems II) führte dieser zwar aus, dass Standarddatenschutzklauseln als Instrument für den internationalen Datenverkehr in Drittländer dem Grund nach zwar nicht zu beanstanden sind, allerdings wies er auch darauf hin, dass Standarddatenschutzklauseln vertraglicher Natur sind und daher Dritte bzw. insbesondere Behörden nicht binden können. (vgl. Rz 126) Es komme vielmehr auf eine Gesamtbetrachtung der geeigneten Garantien an und darauf, ob unter Umständen zusätzliche Garantien neben den Standarddatenschutzklauseln bestehen. Es ist davon auszugehen, dass die von der Kommission

Art. 46Abs.

2 Buchst. c DSGVO erlassenen Standarddatenschutzklauseln nur darauf abzielen, den in der Union ansässigen Verantwortlichen bzw. ihren dort ansässigen Auftragsverarbeitern vertragliche Garantien zu bieten, die in allen Drittländern einheitlich gelten, d. h. unabhängig vom dort jeweils garantierten Schutzniveau. Da diese Standarddatenschutzklauseln ihrer Natur nach keine Garantien bieten können, die über die vertragliche Verpflichtung, für die Einhaltung des unionsrechtlich verlangten Schutzniveaus zu sorgen, hinausgehen, kann es je nach der in einem bestimmten Drittland gegebenen Lage erforderlich sein, dass der Verantwortliche zusätzliche Maßnahmen ergreift, um die Einhaltung dieses Schutzniveaus zu gewährleisten. (vgl. Rz 133)Im oben erwähnten Urteil des EuGH vom 16.07.2020 (Schrems römisch zwei) führte dieser zwar aus, dass Standarddatenschutzklauseln als Instrument für den internationalen Datenverkehr in Drittländer dem Grund nach zwar nicht zu beanstanden sind, allerdings wies er auch darauf hin, dass Standarddatenschutzklauseln vertraglicher Natur sind und daher Dritte bzw. insbesondere Behörden nicht binden können. vergleiche Rz 126) Es komme vielmehr auf eine Gesamtbetrachtung der geeigneten Garantien an und darauf, ob unter Umständen zusätzliche Garantien neben den Standarddatenschutzklauseln bestehen. Es ist davon auszugehen, dass die von der Kommission

Artikel 46, Absatz 2, Buchst.

c DSGVO erlassenen Standarddatenschutzklauseln nur darauf abzielen, den in der Union ansässigen Verantwortlichen bzw. ihren dort ansässigen Auftragsverarbeitern vertragliche Garantien zu bieten, die in allen Drittländern einheitlich gelten, d. h. unabhängig vom dort jeweils garantierten Schutzniveau. Da diese Standarddatenschutzklauseln ihrer Natur nach keine Garantien bieten können, die über die vertragliche Verpflichtung, für die Einhaltung des unionsrechtlich verlangten Schutzniveaus zu sorgen, hinausgehen, kann es je nach der in einem bestimmten Drittland gegebenen Lage erforderlich sein, dass der Verantwortliche zusätzliche Maßnahmen ergreift, um die Einhaltung dieses Schutzniveaus zu gewährleisten. vergleiche Rz 133) Für den verfahrensgegenständlichen Sachverhalt bedeutet dies Folgendes: 3.

Wie festgestellt wurde, schlossen die Beschwerdeführerin und das auf Marketing und Vertrieb spezialisierte Unternehmen XXXX , mit Sitz in den USA, einen Vertrag hinsichtlich des Versands von Informations- bzw. Werbe-E-Mails. Für den Versand eben dieser E-Mails wurden XXXX Name und E-Mail-Adresse der Kundinnen und Kunden der Beschwerdeführerin übermittelt. Kernfrage des gegenständlichen Verfahrens ist sohin, ob die Daten zulässigerweise in die USA als Drittland übermittelt wurden. 3.
Wie festgestellt wurde, schlossen die Beschwerdeführerin und das auf Marketing und Vertrieb spezialisierte Unternehmen römisch 40 , mit Sitz in den USA, einen Vertrag hinsichtlich des Versands von Informations- bzw. Werbe-E-Mails. Für den Versand eben dieser E-Mails wurden römisch 40 Name und E-Mail-Adresse der Kundinnen und Kunden der Beschwerdeführerin übermittelt. Kernfrage des gegenständlichen Verfahrens ist sohin, ob die Daten zulässigerweise in die USA als Drittland übermittelt wurden. Wie eingangs festgehalten wurde, regeln die Art. 44 ff DSGVO die Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen und normieren Rahmenbedingungen unter welchen eine solche Übermittlung zulässig ist. Wie eingangs festgehalten wurde, regeln die Artikel 44, ff DSGVO die Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen und normieren Rahmenbedingungen unter welchen eine solche Übermittlung zulässig ist. Die mitbeteiligte Partei erhielt das diesem Verfahren zugrundeliegende Werbe-E-Mail am 07.03.2022, weshalb feststeht, dass die Daten zumindest an diesem Tag durch den E-Mail-Versand Service von XXXX verarbeitet wurden. Die mitbeteiligte Partei erhielt das diesem Verfahren zugrundeliegende Werbe-E-Mail am 07.03.2022, weshalb feststeht, dass die Daten zumindest an diesem Tag durch den E-Mail-Versand Service von römisch 40 verarbeitet wurden. Das oben ausführlich diskutierte Urteil des EuGH zu C-311/18 mit dem der Angemessenheitsbeschluss der Kommission hinsichtlich des EU-US-Datenschutzschildes iSd. Art. 45 DSGVO für ungültig erklärt wurde, wurde am
Juli 2020 erlassen und somit knapp zwei Jahre vor der verfahrensgegenständlichen Datenverarbeitung. Da das daraufhin ausgehandelte EU-US-Data-Privacy-Framework erst mit 10.07.2023 in Geltung getreten ist, gab es im Zeitpunkt der relevanten Datenverarbeitung keinen Angemessenheitsbeschluss der Europäischen Kommission hinsichtlich Datenübermittlungen in die USA. Der belangten Behörde ist diesbezüglich sohin zuzustimmen. Das oben ausführlich diskutierte Urteil des EuGH zu C-311/18 mit dem der Angemessenheitsbeschluss der Kommission hinsichtlich des EU-US-Datenschutzschildes iSd. Artikel 45, DSGVO für ungültig erklärt wurde, wurde am
Juli 2020 erlassen und somit knapp zwei Jahre vor der verfahrensgegenständlichen Datenverarbeitung. Da das daraufhin ausgehandelte EU-US-Data-Privacy-Framework erst mit 10.07.2023 in Geltung getreten ist, gab es im Zeitpunkt der relevanten Datenverarbeitung keinen Angemessenheitsbeschluss der Europäischen Kommission hinsichtlich Datenübermittlungen in die USA. Der belangten Behörde ist diesbezüglich sohin zuzustimmen. 3.
Die Beschwerdeführerin brachte im Zuge des Verfahrens wiederholt vor, dass die Datenverarbeitung durch XXXX von umfangreichen Maßnahmen begleitet sei, um ein der DSGVO gleichwertiges Niveau des Datenschutzes gewährleisten zu können. Dabei hob sie insbesondere die Zugrundelegung der Standarddatenschutzklauseln der Europäischen Kommission sowie zusätzliche technische, vertragliche und organisatorische Maßnahmen hervor wie beispielsweise Verschlüsselungen, Nutzungsbedingungen oder Speicher-Management-Systeme. 3.
Die Beschwerdeführerin brachte im Zuge des Verfahrens wiederholt vor, dass die Datenverarbeitung durch römisch 40 von umfangreichen Maßnahmen begleitet sei, um ein der DSGVO gleichwertiges Niveau des Datenschutzes gewährleisten zu können. Dabei hob sie insbesondere die Zugrundelegung der Standarddatenschutzklauseln der Europäischen Kommission sowie zusätzliche technische, vertragliche und organisatorische Maßnahmen hervor wie beispielsweise Verschlüsselungen, Nutzungsbedingungen oder Speicher-Management-Systeme. Im Ergebnis ist allerdings auch hierbei der belangten Behörde zuzustimmen, die zutreffend auf die Ausführungen des European Data Protection Boards Bezug nimmt, dass die dargelegten zusätzlichen Maßnahmen zwar das grundsätzliche Datenschutzniveau erhöhen, jedoch nicht die vom EuGH in seiner Entscheidung Schrems II geäußerten Bedenken ausräumen können. Der EuGH führte zusammengefasst aus, dass es von Datenübermittlungen Betroffenen trotz des EU-US-Datenschutzschildes, teilweise nicht möglich ist, gerichtlichen Rechtsschutz geltend zu machen. Dadurch ist das Datenschutzniveau nicht gleichwertig mit jenem der Europäischen Union. Zwar konnte die Beschwerdeführerin aufzeigen, dass sowohl sie, als auch XXXX einige Maßnahmen gesetzt haben, um ein hohes Datenschutzniveau zu gewährleisten, allerdings können diese Maßnahmen, wie die belangte Behörde richtig erkannt hat, die Mängel des Datenschutzschildes nicht sanieren. US-Behörden hätten trotz der Datenschutzmaßnahmen die gleichen Möglichkeiten und Rechte wie unter dem Datenschutzschild und ist damit kein mit der DSGVO vergleichbarer Datenschutz gegeben. Im Ergebnis ist allerdings auch hierbei der belangten Behörde zuzustimmen, die zutreffend auf die Ausführungen des European Data Protection Boards Bezug nimmt, dass die dargelegten zusätzlichen Maßnahmen zwar das grundsätzliche Datenschutzniveau erhöhen, jedoch nicht die vom EuGH in seiner Entscheidung Schrems römisch zwei geäußerten Bedenken ausräumen können. Der EuGH führte zusammengefasst aus, dass es von Datenübermittlungen Betroffenen trotz des EU-US-Datenschutzschildes, teilweise nicht möglich ist, gerichtlichen Rechtsschutz geltend zu machen. Dadurch ist das Datenschutzniveau nicht gleichwertig mit jenem der Europäischen Union. Zwar konnte die Beschwerdeführerin aufzeigen, dass sowohl sie, als auch römisch 40 einige Maßnahmen gesetzt haben, um ein hohes Datenschutzniveau zu gewährleisten, allerdings können diese Maßnahmen, wie die belangte Behörde richtig erkannt hat, die Mängel des Datenschutzschildes nicht sanieren. US-Behörden hätten trotz der Datenschutzmaßnahmen die gleichen Möglichkeiten und Rechte wie unter dem Datenschutzschild und ist damit kein mit der DSGVO vergleichbarer Datenschutz gegeben. Auch mit Blick auf die Datenmigration in europäische Datenzentren Ende März 2023 ist für das erkennende Gericht nicht erkennbar, inwiefern dies ein Maßnahme darstellt, die in der Lage wäre, die Bedenken des EuGH auszuräumen. Hinsichtlich einer allfälligen Ausnahme iSd. Art. 49 DSGVO wurde kein konkretes Vorbringen erstattet und ergibt sich nach Ansicht des Gerichts eine solche auch nicht aus der Aktenlage. Hinsichtlich einer allfälligen Ausnahme iSd. Artikel 49, DSGVO wurde kein konkretes Vorbringen erstattet und ergibt sich nach Ansicht des Gerichts eine solche auch nicht aus der Aktenlage. Zu Spruchpunkt IIZu Spruchpunkt römisch zwei 3.10 Mit Spruchpunkt II gab die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Information verletzt habe, indem sie dieser zum Zeitpunkt der Datenerhebung nicht die

Art. 13

DSGVO erforderlichen Informationen zur Verfügung gestellt habe und somit ihrer Informationspflicht

Art. 13DSGVO nicht nachgekommen sei.

3.10 Mit Spruchpunkt römisch zwei gab die belangte Behörde der Datenschutzbeschwerde der mitbeteiligten Partei statt und stellte fest, dass die Beschwerdeführerin die mitbeteiligte Partei dadurch im Recht auf Information verletzt habe, indem sie dieser zum Zeitpunkt der Datenerhebung nicht die

Artikel 13

, DSGVO erforderlichen Informationen zur Verfügung gestellt habe und somit ihrer Informationspflicht

Artikel 13, DSGVO nicht nachgekommen sei.

Wie bereits zur Spruchpunkt I dargelegt wurde, regelt Art. 5 DSGVO die Grundsätze für die Verarbeitung personenbezogener Daten. Neben den oben näher beschriebenen Grundsätzen des Abs. 1 leg cit. hält Art. 5 Abs. 2 DSGVO fest, dass der Verantwortliche für die Einhaltung der Grundsätze nach Abs. 1 verantwortlich ist und dessen Einhaltung auch im Rahmen einer Rechenschaftspflicht nachweisen können muss.3.
Wie bereits zur Spruchpunkt römisch eins dargelegt wurde, regelt Artikel 5, DSGVO die Grundsätze für die Verarbeitung personenbezogener Daten. Neben den oben näher beschriebenen Grundsätzen des Absatz eins, leg cit. hält Artikel 5, Absatz 2, DSGVO fest, dass der Verantwortliche für die Einhaltung der Grundsätze nach Absatz eins, verantwortlich ist und dessen Einhaltung auch im Rahmen einer Rechenschaftspflicht nachweisen können muss.

Art. 13

DSGVO haben Verantwortliche, die Daten bei betroffenen Personen erheben, diesen bestimmte Informationen zu erteilen. Die Auskunft iSd. Art. 13 DSGVO unterscheidet sich von der Auskunft iSd. Art. 15 DSGVO dahingehend, dass es sich bei jener nach Art. 13 DSGVO um eine aktive Erbringungspflicht des Verantwortlichen handelt, während Auskünfte nach Art. 15 DSGVO nur nach Aufforderung der betroffenen Person zu erteilen sind. Eine Auskunft nach Art. 13 DSGVO setzt sohin keinen Antrag voraus. (vgl. VwGH 06.03.2024, Ro 2021/04/0030, RS 13 und 18)

Artikel 13

, DSGVO haben Verantwortliche, die Daten bei betroffenen Personen erheben, diesen bestimmte Informationen zu erteilen. Die Auskunft iSd. Artikel 13, DSGVO unterscheidet sich von der Auskunft iSd. Artikel 15, DSGVO dahingehend, dass es sich bei jener nach Artikel 13, DSGVO um eine aktive Erbringungspflicht des Verantwortlichen handelt, während Auskünfte nach Artikel 15, DSGVO nur nach Aufforderung der betroffenen Person zu erteilen sind. Eine Auskunft nach Artikel 13, DSGVO setzt sohin keinen Antrag voraus. vergleiche VwGH 06.03.2024, Ro 2021/04/0030, RS 13 und 18)

Art. 13Abs.

1 DSGVO sind nicht nur, aber insbesondere Kontaktdaten des Verantwortlichen (lit. a), Kontaktdaten des Datenschutzbeauftragten (lit. b), die Verarbeitungszwecke samt Rechtsgrundlage (lit. c), allenfalls berechtigte Interessen an der Datenverarbeitung (lit. d), Empfänger oder Kategorien von Empfängern der personenbezogenen Daten (lit. e) sowie gegebenenfalls die Absicht die personenbezogenen Daten in ein Drittland bzw. an eine internationale Organisation weiterzuleiten, zu beauskunften.

Artikel 13

, Absatz eins, DSGVO sind nicht nur, aber insbesondere Kontaktdaten des Verantwortlichen (Litera a,), Kontaktdaten des Datenschutzbeauftragten (Litera b,), die Verarbeitungszwecke samt Rechtsgrundlage (Litera c,), allenfalls berechtigte Interessen an der Datenverarbeitung (Litera d,), Empfänger oder Kategorien von Empfängern der personenbezogenen Daten (Litera e,) sowie gegebenenfalls die Absicht die personenbezogenen Daten in ein Drittland bzw. an eine internationale Organisation weiterzuleiten, zu beauskunften. Art. 13 DSGVO ist damit als verschärfte Selbstverantwortung der Verantwortlichen anzusehen. Betroffene Personen sind zum Zeitpunkt der Datenerhebung zu informieren wobei das „Erheben“ als Beginn der Datenverarbeitung anzusehen ist. Dabei werden sowohl solche Daten erfasst, die die betroffene Person zur Verfügung stellt, als auch solche, die vom Verantwortlichen generiert werden. (vgl. Illibauer in Knyrim, DatKomm Art 13 DSGVO Rz 1 f, 20 f (Stand 1.7.2024, rdb.at))Artikel 13, DSGVO ist damit als verschärfte Selbstverantwortung der Verantwortlichen anzusehen. Betroffene Personen sind zum Zeitpunkt der Datenerhebung zu informieren wobei das „Erheben“ als Beginn der Datenverarbeitung anzusehen ist. Dabei werden sowohl solche Daten erfasst, die die betroffene Person zur Verfügung stellt, als auch solche, die vom Verantwortlichen generiert werden. vergleiche Illibauer in Knyrim, DatKomm Artikel 13, DSGVO Rz 1 f, 20 f (Stand 1.7.2024, rdb.at)) Art. 12 DSGVO normiert die transparente Information, Kommunikation und Modalitäten für die Ausübung der Recht der betroffenen Personen und hält in Abs. 1 insbesondere fest, dass der Verantwortliche alle geeigneten Maßnahmen trifft, um der betroffenen Person alle Informationen

den Art. 13 und 14 und aller Mitteilungen

den Art. 15 bis 22 und Art. 34 DSGVO, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. „Leicht zugänglich“ betrifft dabei die äußere Darreichungsform der Information. (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 13 DSGVO Rz 11 (Stand 1.12.2020, rdb.at))Artikel 12, DSGVO normiert die transparente Information, Kommunikation und Modalitäten für die Ausübung der Recht der betroffenen Personen und hält in Absatz eins, insbesondere fest, dass der Verantwortliche alle geeigneten Maßnahmen trifft, um der betroffenen Person alle Informationen

den Artikel 13 und 14 und aller Mitteilungen

den Artikel 15 bis 22 und Artikel 34, DSGVO, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. „Leicht zugänglich“ betrifft dabei die äußere Darreichungsform der Information. vergleiche Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 13, DSGVO Rz 11 (Stand 1.12.2020, rdb.at)) Mit Blick auf Art. 14 DSGVO führte der VwGH aus, dass die Informationspflicht des Verantwortlichen nach Art. 14 DSGVO unabhängig von einem vorherigen Antrag der betroffenen Person besteht. Demnach gibt es diesbezüglich aber auch kein Leistungsbegehren der betroffenen Person, das zunächst geltend zu machen ist und dem aufgrund dessen zu entsprechen ist. Dem zufolge liegt insoweit aber auch keine in der Nichterfüllung eines solchen Leistungsbegehrens bestehende Rechtsverletzung vor, die (nachträglich) beseitigt werden könnte. Vielmehr liegt die Rechtsverletzung in der Unterlassung der (antragslos zu erfolgenden) Mitteilung, die nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Art. 15 DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann. (vgl. VwGH 06.03.2024, Ro 2021/04/0030, RS 14)Mit Blick auf Artikel 14, DSGVO führte der VwGH aus, dass die Informationspflicht des Verantwortlichen nach Artikel 14, DSGVO unabhängig von einem vorherigen Antrag der betroffenen Person besteht. Demnach gibt es diesbezüglich aber auch kein Leistungsbegehren der betroffenen Person, das zunächst geltend zu machen ist und dem aufgrund dessen zu entsprechen ist. Dem zufolge liegt insoweit aber auch keine in der Nichterfüllung eines solchen Leistungsbegehrens bestehende Rechtsverletzung vor, die (nachträglich) beseitigt werden könnte. Vielmehr liegt die Rechtsverletzung in der Unterlassung der (antragslos zu erfolgenden) Mitteilung, die nicht durch eine nachträgliche, aufgrund eines Antrags der betroffenen Person im Sinn des Artikel 15, DSGVO erteilte Auskunft gleichsam rückwirkend wieder beseitigt werden kann. vergleiche VwGH 06.03.2024, Ro 2021/04/0030, RS 14) Die Pflicht zur Mitteilung der Informationen ist Voraussetzung dafür, dass die von der Verarbeitung ihrer personenbezogenen Daten betroffene Person ihre Rechte auf Auskunft, Berichtigung oder Löschung (u.ä.) ausüben kann (vgl. die insoweit auf die DSGVO übertragbare Aussage des EuGH in seinem Urteil vom 1.10.2015, C-201/14, [Smaranda Bara ua.]). Um dieser Funktion gerecht zu werden, ist es aber wiederum erforderlich, dass diese Informationen für die betroffene Person leicht zugänglich sind. Dies kann in einem Fall, in dem die personenbezogenen Daten nicht bei der betroffenen Person erhoben worden sind, die betroffene Person auch sonst in keiner Verbindung mit dem Verantwortlichen steht und daher keine Kenntnis von einer Verarbeitung ihrer personenbezogenen Daten durch die Verantwortliche haben muss, durch die bloße Möglichkeit der Abrufbarkeit einer Datenschutzerklärung auf einer Website aber nicht gewährleistet werden. Vor dem Hintergrund der auch vom EuGH zum Ausdruck gebrachten Zielsetzung kann Art. 14 Abs. 1 DSGVO daher nicht dahingehend verstanden werden, dass die Verfügbarkeit der darin genannten Informationen auf einer Website ohne eine aktive, ausdrückliche Verständigung der betroffenen Person von dieser Form der Bereitstellung auch dann ausreichend ist, wenn die betroffene Person auch dem Grunde nach keine Kenntnis vom Umstand einer Datenverarbeitung durch die Verantwortliche hatte. (vgl. VwGH 06.03.2024, Ro 2021/04/0030, RS 19) Dies gilt in weiterer Folge auch für Art. 13 DSGVO. Die Pflicht zur Mitteilung der Informationen ist Voraussetzung dafür, dass die von der Verarbeitung ihrer personenbezogenen Daten betroffene Person ihre Rechte auf Auskunft, Berichtigung oder Löschung (u.ä.) ausüben kann vergleiche die insoweit auf die DSGVO übertragbare Aussage des EuGH in seinem Urteil vom 1.10.2015, C-201/14, [Smaranda Bara ua.]). Um dieser Funktion gerecht zu werden, ist es aber wiederum erforderlich, dass diese Informationen für die betroffene Person leicht zugänglich sind. Dies kann in einem Fall, in dem die personenbezogenen Daten nicht bei der betroffenen Person erhoben worden sind, die betroffene Person auch sonst in keiner Verbindung mit dem Verantwortlichen steht und daher keine Kenntnis von einer Verarbeitung ihrer personenbezogenen Daten durch die Verantwortliche haben muss, durch die bloße Möglichkeit der Abrufbarkeit einer Datenschutzerklärung auf einer Website aber nicht gewährleistet werden. Vor dem Hintergrund der auch vom EuGH zum Ausdruck gebrachten Zielsetzung kann Artikel 14, Absatz eins, DSGVO daher nicht dahingehend verstanden werden, dass die Verfügbarkeit der darin genannten Informationen auf einer Website ohne eine aktive, ausdrückliche Verständigung der betroffenen Person von dieser Form der Bereitstellung auch dann ausreichend ist, wenn die betroffene Person auch dem Grunde nach keine Kenntnis vom Umstand einer Datenverarbeitung durch die Verantwortliche hatte. vergleiche VwGH 06.03.2024, Ro 2021/04/0030, RS 19) Dies gilt in weiterer Folge auch für Artikel 13, DSGVO. 3.12. Für den gegenständlichen Sachverhalt bedeutet dies: Wie festgestellt wurde, wurde das verfahrensgegenständliche Zeitschriften-Abo am 30.04.2021 telefonisch abgeschlossen. Der Beschwerdeführerin ist es im Zuge des Verfahrens nicht gelungen gem. Art. 5 Abs. 2 DSGVO nachzuweisen, dass der mitbeteiligten Partei alle relevanten Informationen iSd. Art. 13 DSGVO erteilt wurden. Der erkennende Senat verkennt dabei nicht, dass unmittelbar vor dem verfahrensgegenständlichen Abo ein im Grunde gleiches Abo geendet hat und der mitbeteiligten Partei daher durchaus bestimmte Informationen iSd. Art. 13 DSGVO bekannt gewesen sein müssen. Allerdings darf dabei nicht übersehen werden, dass die Beschwerdeführerin keinerlei Nachweise zum verfahrensgegenständlichen Abo vorlegen konnte und auch unmittelbar nach Abschluss des verfahrensgegenständlichen Abos mit der Beauftragung des verfahrensgegenständlichen Marketing-Software-Dienstleisters wesentliche Änderungen eingetreten sind, über die die mitbeteiligte Partei ebenso wenig informiert wurde. Wie festgestellt wurde, wurde das verfahrensgegenständliche Zeitschriften-Abo am 30.04.2021 telefonisch abgeschlossen. Der Beschwerdeführerin ist es im Zuge des Verfahrens nicht gelungen gem. Artikel 5, Absatz 2, DSGVO nachzuweisen, dass der mitbeteiligten Partei alle relevanten Informationen iSd. Artikel 13, DSGVO erteilt wurden. Der erkennende Senat verkennt dabei nicht, dass unmittelbar vor dem verfahrensgegenständlichen Abo ein im Grunde gleiches Abo geendet hat und der mitbeteiligten Partei daher durchaus bestimmte Informationen iSd. Artikel 13, DSGVO bekannt gewesen sein müssen. Allerdings darf dabei nicht übersehen werden, dass die Beschwerdeführerin keinerlei Nachweise zum verfahrensgegenständlichen Abo vorlegen konnte und auch unmittelbar nach Abschluss des verfahrensgegenständlichen Abos mit der Beauftragung des verfahrensgegenständlichen Marketing-Software-Dienstleisters wesentliche Änderungen eingetreten sind, über die die mitbeteiligte Partei ebenso wenig informiert wurde. Zwar verwies die Beschwerdeführerin auf die aktualisierten Datenschutzerklärungen und Allgemeinen Geschäftsbedingungen (AGB), die online abrufbar sind bzw. waren, allerdings konnte sie nicht hinreichend darlegen, dass die mitbeteiligte Partei auf diese hingewiesen wurde bzw. ihr übermittelt wurden und auch nicht, dass die AGB auch tatsächlich Vertragsinhalt wurden. Diesbezüglich ist auf die mündliche Verhandlung vor dem erkennenden Gericht hinzuweisen, in der die Beschwerdeführerin explizit nach entsprechenden Informationen befragt wurde, solche aber nicht vorlegen konnte. Die Beschwerdeführerin ist damit ihrer Rechenschaftspflicht iSd. Art. 5 Abs. 2 DSGVO nicht nachgekommen.Die Beschwerdeführerin ist damit ihrer Rechenschaftspflicht iSd. Artikel 5, Absatz 2, DSGVO nicht nachgekommen. 3.13. Es war daher spruchgemäß zu entscheiden. Zu B) Unzulässigkeit der Revision: Die Revision ist

Art 133

Abs 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.Die Revision ist

Artikel 133

, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor. Vor dem Hintergrund des verfahrensgegenständlichen Sachverhalts und der damit einhergehenden Rechtsfragen, konnte sich das erkennende Gericht auf umfangreiche höchstgerichtliche Rechtsprechung beziehen. Rechtsfragen, die einer Klärung durch den VwGH bedürfen sind nicht hervorgekommen. Die Revision war daher im Ergebnis nicht zuzulassen. European Case Law IdentifierECLI:AT:BVWG:2026:W171.2302513.1.00

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.

{'item': 'W171 2302513-1'}

RIS Dokument GerichtBundesverwaltungsgericht Entscheidungsdatum18.05.2026 GeschäftszahlW171 2302513-1 Spruch, W171 2302513–1/17E IM NAMEN DER REPUBLIK! Das Bundesverwaltungsgericht hat durch den Richt

Art. 133Abs.

Artikel 133, Absatz 4, B-VG nicht zulässig. Text

Art. 13

Artikel 13

Art. 44

Artikel 44

Art. 45DSGVO darf eine Übermittlung i

Artikel 45, DSGVO darf eine Übermittlung i

Art. 46

Artikel 46

Artikel 3

Artikel 3der DSGVO unterliegt, oder der Importeur ist eine internationale Organisation.

Art. 46Abs. 1 DSGVO darf ein Verantwortlicher für den Fall, dass kein Angemessenheitsbeschluss der Kommission i

Artikel 46, Absatz eins, DSGVO darf ein Verantwortlicher für den Fall, dass kein Angemessenheitsbeschluss der Kommission i

Art. 46Abs.

Artikel 46, Absatz 2, Buchst.

Art. 13

Art. 13DSGVO nicht nachgekommen sei.

Artikel 13

Artikel 13, DSGVO nicht nachgekommen sei.

Art. 13

Artikel 13

Art. 13Abs.

Artikel 13

Art 133

Artikel 133