RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum08.10.2025 Geschäftszahl2025-0.477.534 Anfechtung beim BVwG/VwGH/VfGHDieser Bescheid ist NICHT rechtskräftig. Die Viertbeschwerde

Art. 58Abs. 2 lit. c DSGVO i

Vm § 24 Abs. 5 DSG.Der

Artikel 58, Absatz 2, Litera c, DSGVO in Verbindung mit Paragraph 24, Absatz 5, DSG.

Es ist ausreichend, wenn entweder der

1. BG oder der
2. BG die Auskunft erteilt (vgl. Art. 26 Abs. 3 DSGVO).Es ist ausreichend, wenn entweder der
3. BG oder der
4. BG die Auskunft erteilt vergleiche Artikel 26, Absatz 3, DSGVO). Der
5. BG und
6. BG können sich nicht darauf stützen, dass sie keinen Zugang zu gewissen Daten haben (vgl. EuGH
7. Juli 2019, C‑40/17 Rz 69).Der
8. BG und
9. BG können sich nicht darauf stützen, dass sie keinen Zugang zu gewissen Daten haben vergleiche EuGH
10. Juli 2019, C‑40/17 Rz 69). Vielmehr besteht eine Verpflichtung der
11. BG, den
12. BG und
13. BG bei der Erfüllung der Betroffenenrechte zu unterstützen (vgl. Art. 26 Abs. 1 DSGVO). Selbst unter der Annahme, dass es sich bei der
14. BG (nur) um eine Auftragsverarbeiterin handelt, ergibt sich eine Unterstützungspflicht aus Art. 28 Abs. 3 lit. e DSGVO.Vielmehr besteht eine Verpflichtung der
15. BG, den
16. BG und
17. BG bei der Erfüllung der Betroffenenrechte zu unterstützen vergleiche Artikel 26, Absatz eins, DSGVO). Selbst unter der Annahme, dass es sich bei der
18. BG (nur) um eine Auftragsverarbeiterin handelt, ergibt sich eine Unterstützungspflicht aus Artikel 28, Absatz 3, Litera e, DSGVO. Vor dem Hintergrund, dass der
19. BG und
20. BG zur Erfüllung des Leistungsauftrags voraussichtlich in Austausch mit der
21. BG treten müssen, um die erforderlichen Informationen zu beschaffen, wurde eine Frist von zehn Wochen festgelegt. D.
22. Spruchpunkt 2.b) (Leistungsauftrag Information) Der

Art. 58Abs.

2 lit. d DSGVO.Der

Artikel 58, Absatz 2, Litera d, DSGVO.

Im Übrigen wird auf die Ausführungen unter Punkt D.

1. verwiesen. Spruchpunkt 3 D.
2. Spruchpunkt 3 (Rechtsverletzung Auskunft) Die
3. BG ist für die personenbezogenen Daten, die diese aufgrund der Verwendung von Microsoft Education 365 durch die BF erhält und für eigene Zwecke verarbeitet, verantwortlich (vgl. Punkt D.2.).Die
4. BG ist für die personenbezogenen Daten, die diese aufgrund der Verwendung von Microsoft Education 365 durch die BF erhält und für eigene Zwecke verarbeitet, verantwortlich vergleiche Punkt D.2.). Die BF hat einen Antrag auf Auskunft an die
5. BG gestellt (vgl. Sachverhaltsfeststellung C.4; vgl. auch Art. 26 Abs. 3 DSGVO, wonach eine betroffene Person an alle gemeinsam Verantwortlichen einen Antrag auf Auskunft stellen kann).Die BF hat einen Antrag auf Auskunft an die
6. BG gestellt vergleiche , Sachverhaltsfeststellung C.4; vergleiche auch Artikel 26, Absatz 3, DSGVO, wonach eine betroffene Person an alle gemeinsam Verantwortlichen einen Antrag auf Auskunft stellen kann). Die
7. BG hat reagiert und hinsichtlich der Verantwortlichkeit auf den jeweiligen Betreiber von Microsoft Education 365 verwiesen (vgl. Sachverhaltsfeststellung C.4.).Die
8. BG hat reagiert und hinsichtlich der Verantwortlichkeit auf den jeweiligen Betreiber von Microsoft Education 365 verwiesen vergleiche Sachverhaltsfeststellung C.4.). Wie festgestellt, wurde der BF bis zum Abschluss des Verfahrens seitens der
9. BG jedoch keine Auskunft über die konkret verarbeiteten Daten im Zusammenhang mit den (Tracking-)Cookies erteilt (vgl. Sachverhaltsfeststellung C.7.). Ebenso wurden keine diesbezüglichen Informationen im Umfang von Art. 15 Abs. 1 lit. a bis lit. h DSGVO zur Verfügung gestellt.Wie festgestellt, wurde der BF bis zum Abschluss des Verfahrens seitens der
10. BG jedoch keine Auskunft über die konkret verarbeiteten Daten im Zusammenhang mit den (Tracking-)Cookies erteilt vergleiche , Sachverhaltsfeststellung C.7.). Ebenso wurden keine diesbezüglichen Informationen im Umfang von Artikel 15, Absatz eins, Litera a bis Litera h, DSGVO zur Verfügung gestellt. Die seitens der
11. BG am
12. Februar 2025 übermittelte Cookie-Liste kann nicht als Auskunft über Cookies gewertet werden, da es sich lediglich um eine allgemeine Aufstellung ohne erkennbaren Bezug zur BF handelt und zudem keine näheren Informationen (Verarbeitungszweck, Speicherdauer, Empfänger, o.ä.) zu den einzelnen Cookies bereitgestellt wurden. Bis zum Abschluss des Verfahrens blieb auch unklar, welche konkreten Daten auf welcher Rechtsgrundlage im Rahmen des Einsatzes von Microsoft Education 365 an die
13. BG übermittelt wurden und was konkret unter Begriffen wie „interne Berichtserstattung“, „Geschäftsmodellierung“, „Bekämpfung von Betrug“, „Cyberkriminalität oder Cyberangriffen“, „Verbesserung der Kernfunktionalität in Bezug auf Barrierefreiheit“, „Datenschutz“ oder „Energieeffizienz“ im gegenständlichen Kontext zu verstehen ist. Nach eigenen, öffentlich zugänglichen Angaben verarbeitet die
14. BG Daten zu den genannten Zwecken (vgl. Sachverhaltsfeststellung C.9.).Bis zum Abschluss des Verfahrens blieb auch unklar, welche konkreten Daten auf welcher Rechtsgrundlage im Rahmen des Einsatzes von Microsoft Education 365 an die
15. BG übermittelt wurden und was konkret unter Begriffen wie „interne Berichtserstattung“, „Geschäftsmodellierung“, „Bekämpfung von Betrug“, „Cyberkriminalität oder Cyberangriffen“, „Verbesserung der Kernfunktionalität in Bezug auf Barrierefreiheit“, „Datenschutz“ oder „Energieeffizienz“ im gegenständlichen Kontext zu verstehen ist. Nach eigenen, öffentlich zugänglichen Angaben verarbeitet die
16. BG Daten zu den genannten Zwecken vergleiche , Sachverhaltsfeststellung C.9.). Daran ändert auch die Stellungnahme der
17. BG vom
18. Februar 2025 nichts, da darin allgemeine Begriffe wie „Geschäftstätigkeiten“ lediglich durch weitere allgemeine Begriffe erläutert wurden. Der Abstraktionsgrad dieser Erklärungen ist zu hoch und genügt den Anforderungen nach Art. 12 Abs. 1 DSGVO an sprachliche Klarheit und inhaltliche Präzision nicht. Vielmehr wäre eine wesentlich detailliertere und konkretisierte Auskunft erforderlich. Insbesondere ist zu berücksichtigen, dass es sich bei der BF um eine minderjährige Person handelt und die sprachlichen Anforderungen daher noch höher anzusetzen sind (arg. „[…] dies gilt insbesondere für Informationen, die sich speziell an Kinder richten“).Der Abstraktionsgrad dieser Erklärungen ist zu hoch und genügt den Anforderungen nach Artikel 12, Absatz eins, DSGVO an sprachliche Klarheit und inhaltliche Präzision nicht. Vielmehr wäre eine wesentlich detailliertere und konkretisierte Auskunft erforderlich. Insbesondere ist zu berücksichtigen, dass es sich bei der BF um eine minderjährige Person handelt und die sprachlichen Anforderungen daher noch höher anzusetzen sind (arg. „[…] dies gilt insbesondere für Informationen, die sich speziell an Kinder richten“). Unbeauskunftet blieb auch, weshalb in den von der BF vorgelegten Protokolldaten, die im Zuge der Nutzung von Microsoft Education 365 durch die BF (bzw. deren Parteienvertretung) gesichert wurden, Drittanbieter wie SocMed***, Z**ChatAI (bzw. T***AI) oder ***tar aufscheinen (vgl. Sachverhaltsfeststellung C.7.) und inwiefern die
19. BG Daten an diese Drittanbieter (weiter-) übermittelt hat.Unbeauskunftet blieb auch, weshalb in den von der BF vorgelegten Protokolldaten, die im Zuge der Nutzung von Microsoft Education 365 durch die BF (bzw. deren Parteienvertretung) gesichert wurden, Drittanbieter wie SocMed***, Z**ChatAI (bzw. T***AI) oder ***tar aufscheinen vergleiche , Sachverhaltsfeststellung C.7.) und inwiefern die
20. BG Daten an diese Drittanbieter (weiter-) übermittelt hat. An diesen Schlussfolgerungen ändert auch der Hinweis der
21. BG vom
22. Februar 2025 nichts, wonach zur Erstellung aggregierter Statistiken (nur) Daten verarbeitet würden, die pseudonymisierte Identifikatoren enthalten. Selbst wenn davon auszugehen ist, dass ausschließlich eine derartige Verarbeitung stattfindet, setzt die Entfernung des Personenbezugs zu statistischen Zwecken zwingend voraus, dass die Daten zunächst an die
23. BG übermittelt werden. Für diese Datenübermittlung hat die BF eindeutige Nachweise vorgelegt (vgl. Sachverhaltsfeststellung C.7.). Selbst wenn davon auszugehen ist, dass ausschließlich eine derartige Verarbeitung stattfindet, setzt die Entfernung des Personenbezugs zu statistischen Zwecken zwingend voraus, dass die Daten zunächst an die
24. BG übermittelt werden. Für diese Datenübermittlung hat die BF eindeutige Nachweise vorgelegt vergleiche , Sachverhaltsfeststellung C.7.). Zudem hat die Datenschutzbehörde bereits klargestellt, dass auch die Entfernung des Personenbezugs einen Verarbeitungsvorgang im Sinne des Art. 4 Z 2 DSGVO darstellt und damit dem sachlichen Anwendungsbereich der DSGVO unterliegt (vgl. DSB
25. Dezember 2018, GZ: DSB-D123.270/0009-DSB/2018).Zudem hat die Datenschutzbehörde bereits klargestellt, dass auch die Entfernung des Personenbezugs einen Verarbeitungsvorgang im Sinne des Artikel 4, Ziffer 2, DSGVO darstellt und damit dem sachlichen Anwendungsbereich der DSGVO unterliegt vergleiche , DSB
26. Dezember 2018, GZ: DSB-D123.270/0009-DSB/2018). Vor diesem Hintergrund kann von keiner vollständigen Auskunft ausgegangen werden. Die Rechtsverletzung war gemäß Art. 58 Abs. 6 DSGVO iVm § 24 DSG festzustellen.Die Rechtsverletzung war gemäß Artikel 58, Absatz 6, DSGVO in Verbindung mit Paragraph 24, DSG festzustellen. Spruchpunkt 4 D.
27. Spruchpunkt 4 (Leistungsauftrag Auskunft) Der

Art. 58Abs. 2 lit. c DSGVO i

Vm § 24 Abs. 5 DSG.Der

Artikel 58, Absatz 2, Litera c, DSGVO in Verbindung mit Paragraph 24, Absatz 5, DSG.

Die in Spruchpunkt 4 verwendete Formulierung „verständliche Auskunft“ ist am Maßstab des Art. 12 Abs. 1 DSGVO zu messen. Insbesondere hat die

1. BG darauf zu achten, dass die dort genannten Informationen nicht in einem zu hohen Abstraktionsgrad, sondern in einer für die BF klar nachvollziehbaren und konkretisierten Form zur Verfügung gestellt werden.Die in Spruchpunkt 4 verwendete Formulierung „verständliche Auskunft“ ist am Maßstab des Artikel 12, Absatz eins, DSGVO zu messen. Insbesondere hat die
2. BG darauf zu achten, dass die dort genannten Informationen nicht in einem zu hohen Abstraktionsgrad, sondern in einer für die BF klar nachvollziehbaren und konkretisierten Form zur Verfügung gestellt werden. Eine Frist von vier Wochen ist aus Sicht der Datenschutzbehörde angemessen. Spruchpunkt 5 D.
3. Spruchpunkt 5 (Leistungsauftrag Löschung) Schließlich ist über den Antrag auf Löschung personenbezogener Daten der BF abzusprechen, die im Zusammenhang mit Microsoft Education 365 unrechtmäßig verarbeitet wurden. Soweit Microsoft Education 365 bereitgestellt wird und die Datenverarbeitung ausschließlich zu schulischen Zwecken erfolgt, ist aus Sicht der Datenschutzbehörde keine unrechtmäßige Datenverarbeitung gegeben. Anders verhält es sich jedoch hinsichtlich des Einsatzes von (Tracking-)Cookies: Nach gefestigter Judikatur des BVwG handelt es sich bei in Cookies enthaltenen Daten um personenbezogene Daten nach Art. 4 Z 1 DSGVO (vgl. zuletzt BVwG
4. August 2025, W291 2272970-1 mwN).Nach gefestigter Judikatur des BVwG handelt es sich bei in Cookies enthaltenen Daten um personenbezogene Daten nach Artikel 4, Ziffer eins, DSGVO vergleiche zuletzt BVwG
5. August 2025, W291 2272970-1 mwN). Diese Überlegung kann auf den vorliegenden Fall übertragen werden, zumal eine Verknüpfung der Daten mit dem Nutzerkonto der BF (a***.ulrike@students.***gymnasium.at) möglich ist. Für den Einsatz technisch nicht notwendiger Cookies ist eine vorherige Einwilligung erforderlich. Cookies zu Werbe-, Tracking- oder Analysezwecken sind aus technischer Sicht nicht erforderlich (vgl. erneut BVwG a.a.O.). Eine solche Einwilligung liegt im gegenständlichen Fall nicht vor (vgl. Sachverhaltsfeststellung C.7.).Für den Einsatz technisch nicht notwendiger Cookies ist eine vorherige Einwilligung erforderlich. Cookies zu Werbe-, Tracking- oder Analysezwecken sind aus technischer Sicht nicht erforderlich vergleiche , erneut BVwG a.a.O.). Eine solche Einwilligung liegt im gegenständlichen Fall nicht vor vergleiche , Sachverhaltsfeststellung C.7.). Daraus folgt, dass der Einsatz von technisch nicht erforderlichen Cookies unrechtmäßig erfolgte und nach Art. 17 Abs. 1 lit. d DSGVO die Löschung geboten ist.Daraus folgt, dass der Einsatz von technisch nicht erforderlichen Cookies unrechtmäßig erfolgte und nach Artikel 17, Absatz eins, Litera d, DSGVO die Löschung geboten ist. Der
6. BG,
7. BG und die
8. BG haben daher zu überprüfen, ob und inwiefern zum aktuellen Zeitpunkt noch entsprechende Daten aus Cookies vorhanden sind. Bejahendenfalls sind diese nach vollständiger Auskunftserteilung zu löschen. Der

Art. 58Abs.

2 lit. d DSGVO.Der

Artikel 58, Absatz 2, Litera d, DSGVO.

In Anbetracht der Vielzahl an Cookies, die gegenständlich zum Einsatz kommen und zu überprüfen sind, erscheint eine Frist von zehn Wochen angemessen. Spruchpunkt 6 D.

1. Spruchpunkt 6 (Abweisung) Die
2. BG ist für den Einsatz von Microsoft Education 365 und der damit verbundenen Datenverarbeitung nicht verantwortlich (vgl. Punkt D.2.).Die
3. BG ist für den Einsatz von Microsoft Education 365 und der damit verbundenen Datenverarbeitung nicht verantwortlich vergleiche Punkt D.2.). Die Beschwerde gegen die
4. BG war deshalb abzuweisen. Es war daher spruchgemäß zu entscheiden. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.477.534