zuweisen.
richt. Sie werden von uns per E-Mail einen Abschlussbericht erhalten; wir übermitteln alle erforderlichen Unterlagen an das AMS. Mit freundlichen Grüßen Theresia R***“ Die Beschwerdeführerin übermittelte am
Projektende gelöscht. Wie stellen Sie sicher, dass Beraterinnen den Lebenslauf der Zugeteilten ausschließlich im Akt speichern, welcher
6 Monaten gelöscht wird und nicht für eigene Zwecke weiterverwenden? Wie stellen Sie sicher, dass zus. erhobene personenbezogene Daten, z.B. auf Unterschriftenlisten gelöscht werden? Zum Kulturpass: wie ist die Vorgabe an die BBE wenn ein ausgestellter Kulturpass bei der BBE nicht abgeholt wird? Konkret: was hat die BBE mit meinem Kulturpass gemacht? Ich ersuche um baldige Auskunft und Übermittlung der Unterlagen. Aufgrund der kurzen Frist bis zur Löschung würde ansonsten mein Recht auf Auskunft faktisch ausgehebelt. Mit freundlichen Grüßen D. A***“ Der Erstbeschwerdegegner erteilte auf das Schreiben vom
DSGVO vom 03.01.2024 kann Ihnen mitgeteilt werden, dass Sie die Datenauskunft von der für Sie zuständigen Regionalen Geschäftsstelle O*** Straße erhalten werden.zu Ihrem Begehren um Auskunftserteilung
, DSGVO vom 03.01.2024 kann Ihnen mitgeteilt werden, dass Sie die Datenauskunft von der für Sie zuständigen Regionalen Geschäftsstelle O*** Straße erhalten werden. Zu Ihren sonstigen Fragen wurde das N*** Österreich wie folgt um Stellungnahme ersucht: Von der BBE N*** Österreich wurde mitgeteilt, dass Ihr Erhebungsbogen seitens N*** Österreich bereits vernichtet wurde, weshalb Ihnen dieser auch nicht mehr übermittelt werden kann. Es kann Ihnen lediglich ein Auszug aus der Datenbank (Anhang) übermittelt werden. Zu Ihrer Anfrage bezüglich der Unterschriftenliste im 5. Stock wurde seitens des N*** Österreich mitgeteilt, dass die Unterschriftenliste auf dem Schreibtisch der Beraterin im Offenen Raum liege. Kund_innen tragen sich darin ein, wenn sie diesen nutzen. Die Liste wird in einer Mappe in einem versperrten Schrank im Projektkoordinationsbüro aufbewahrt und 6 Monate
Projektende vernichtet. Obwohl Sie sich
dem Infotag gegen eine Teilnahme an dem Projekt entschieden haben, dürften Sie an diesem Tag im Offenen Raum gewesen sein. Da die Mitarbeiter_innen nicht jede einzelne Teilnehmer_in kennen, wurden daher auch Sie gebeten, sich auf der Liste einzutragen. Sie haben nicht erklärt, keine Projektteilnehmer_in zu sein. Tatsachlich wäre an diesem Tag zu diese, Zeitpunkt die Liste offen auf dem Tisch gelegen. Dies deshalb, weil vor Ihnen eine Kundin im Offenen Raum war und die Beraterin mit dieser Kundin ein Gespräch hatte. Daher hat sie übersehen, dass die Unterschriftenliste offen am Tisch liegt. Das war allerdings ein Ausnahmefall. Die Kulturpässe werden in regelmäßigen Abständen kontrolliert und die nicht abgeholten vernichtet. Eine Aushändigung an Dritte ist ausgeschlossen. Ich hoffe, ich konnte alle Unklarheiten beseitigen. Mit freundlichen Grüßen Für die Landesgeschäftsführung Mag.a Ulrike W*** Ausländer_Innenbeschäftigung & Datenschutz“ Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus den insoweit gleichlautenden Eingaben der Parteien sowie den durch diese vorgelegten Unterlagen. Die Feststellungen zu der E-Mail der Beschwerdeführerin vom 30. September 2023 an den Erstbeschwerdegegner ergeben sich aus dem
vollziehbaren Vorbringen der Beschwerdeführerin. Auch, wenn der Erstbeschwerdegegner ausführt, dass aufgrund einer gänzlichen Mailservertechnologie-Umstellung am 15. März 2024 nicht mehr
vollzogen werden könne, ob die E-Mail auf dem Mailserver des Erstbeschwerdegegners eingelangt sei, so ergibt sich die Feststellung aus der von der Beschwerdeführerin vorgelegten E-Mail und dem E-Mail-Header, durch welche das diesbezügliche Vorbringen der Beschwerdeführerin untermauert wird. In der im Jänner 2024 erteilten Auskunft führte der Erstbeschwerdegegner im Zusammenhang mit der Zweitbeschwerdegegnerin aus: „18.8.2023 Bericht einer Schulung, Folgende Anhänge sind zu diesem Dokument vorhanden: Name des Docs“. Das Dokument war der Auskunft nicht angeschlossen. Beweiswürdigung: Die getroffenen Feststellungen beruhen auf dem insoweit unwidersprochenen Vorbringen der Beschwerdeführerin. Die im Jänner 2024 erteilte Auskunft wurde der Datenschutzbehörde seitens der Beschwerdeführerin nicht übermittelt. Beweiswürdigung: Die getroffene Feststellung ergibt sich aus dem Verfahrensakt und den vorgelegten Dokumenten. Der Träger, im gegenständlichen Fall die Zweitbeschwerdegegnerin, hat grundsätzlich nicht den Auftrag sämtliche verarbeitete Daten dem Erstbeschwerdegegner zu übermitteln, sondern nur jene, welche
den konkreten Förderbestimmungen mit dem Träger als vom Erstbeschwerdegegner relevant angesehen werden, nämlich die im Fördervertrag mit dem Träger unter § 9 definierten Daten, im Wesentlichen damit Ein- und Austrittsdaten, Zwischen- und Endbericht, Lebenslauf, sowie das Ergebnis der „JobImpuls-Methode“ (Daten mit Personenbezug) sowie aggregierte Daten im sogenannten Zwischen- und Endbericht an die Landesgeschäftsstelle (aggregierte Daten) und
Projektende noch abrechnungsrelevante Daten zum Projekt (Daten nur mit Projektbezug).Der Träger, im gegenständlichen Fall die Zweitbeschwerdegegnerin, hat grundsätzlich nicht den Auftrag sämtliche verarbeitete Daten dem Erstbeschwerdegegner zu übermitteln, sondern nur jene, welche
den konkreten Förderbestimmungen mit dem Träger als vom Erstbeschwerdegegner relevant angesehen werden, nämlich die im Fördervertrag mit dem Träger unter Paragraph 9, definierten Daten, im Wesentlichen damit Ein- und Austrittsdaten, Zwischen- und Endbericht, Lebenslauf, sowie das Ergebnis der „JobImpuls-Methode“ (Daten mit Personenbezug) sowie aggregierte Daten im sogenannten Zwischen- und Endbericht an die Landesgeschäftsstelle (aggregierte Daten) und
Projektende noch abrechnungsrelevante Daten zum Projekt (Daten nur mit Projektbezug). § 9 des Fördervertrages stellt sich wie folgt dar (Formatierung nicht 1:1 wiedergegeben):Paragraph 9, des Fördervertrages stellt sich wie folgt dar (Formatierung nicht 1:1 wiedergegeben): [Anmerkung Bearbeiter/in: Der folgende, im Original als Faksimile in Form mehrerer Dateien im grafischen Format PNG dargestellte Auszug aus dem Fördervertrag wurde in Text umgewandelt und wird hier (ohne grafische Elemente wie Rahmen) pseudonymisiert wiedergegeben.] „§ 9 Berichtswesen
Eintritt in die BBE erfolgt per eAMS-Konto die diesbezügliche Meldung an die RGS.
4 Monaten ist ein Zwischenbericht und
6 Monaten ein individuellerBeratungsbericht als Endbericht zu übermitteln. Verweigert die Teilnehmerin die „Joblmpuls-Methode“, sind die Formularvorlagen für den normierten individuellen Zwischenbericht und individuellen Beratungsbericht in der jeweils gültigen Fassung zu verwenden, diese sind im Downloadcenter des AMS Wien unter folgendem Link verfügbar: https://www.ams.at/organisation/partner/ams-partner#wien. Die individuellen Zwischenberichte und individuellen Beratungsberichte sind mit den Teilnehmer_innen im Rahmen eines persönlichen Beratungstermines durch den Förderungsnehmer zu besprechen und auszuhändigen. Falls die Teilnehmerin für den Förderungsnehmer nicht greifbar ist, erfolgt die Aushändigung der individuellen Beratungsberichte durch das AMS. Die Aushändigung der individuellen Zwischenberichte und Beratungsberichte bzw. die Begründung, warum keine Aushändigung erfolgt ist, wird in der diesbezüglichen Rubrik des individuellen Beratungsberichtes vermerkt. Ebenso sind Lebenslaufe, die im Rahmen der Beratung mit den Teilnehmer_innen erstellt werden, mittels eAMS-Konto an das AMS zu übermitteln. Falls die Teilnehmerin mit der Übermittlung dieses Lebenslaufes nicht einverstanden sein sollte, erfolgt ein Vermerk im individuellen Beratungsbericht, dass ein Lebenslauf erstellt wurde, aber die Teilnehmerin mit der Übermittlung nicht einverstanden war.
Ende des Förderungszeitraumes einen Zwischen- bzw. Endbericht zu übermitteln. Dazu ist das normierte Formular Zwischen- bzw. Endbericht in der jeweils gültigen Fassung zu verwenden, welches im Downloadcenter des AMS Wien verfügbar ist. Zusätzlich zum Zwischen- bzw. Endbericht ist der LGS, Abteilung Service für Arbeitskräfte (Frau Mag.a Q*** ludmilla.q***@ams.at, Frau Mag.a T*** carla.t***@ams.at) quartalsweise bis spätestens zum 15. des Folgemonats (somit bis 15.10.2022, 15.01.2023, 15.04.2023, 15.07.2023 und 15.10.2023) sowie spätestens einen Monat
Ende des Förderungszeitraumes eine statistische Auswertung zur aktuellen Auslastung zu übermitteln. Dazu ist das Formular „Leistungsstatistik“ in der jeweils gültigen Fassung zu verwenden, welches ebenso im Downloadcenter des AMS Wien verfügbar ist. Für alle auf der Homepage des AMS Wien bereitgestellten Formulare gilt, dass diese in der jeweils gültigen Fassung zu verwenden sind. Veraltete Formulare werden nicht entgegengenommen. Erläuterungen siehe Anhang A.“ Im konkreten Fall hat die Zweitbeschwerdegegnerin dem Erstbeschwerdegegner das Ein- und Austrittsdatum sowie den Endbericht des Potentialchecks betreffend die Beschwerdeführerin übermittelt. Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem Vorbringen des Erstbeschwerdegegners vom 28. April 2025 und vom 8. Mai 2025. Der Fragebogen, den die Beschwerdeführerin bei der Zweitbeschwerdegegnerin ausfüllen musste, wurde
dem Erstgespräch mit der Beschwerdeführerin und
dem die Information aus dem Erhebungsbogen in die Datenbank eingetragen wurden gelöscht. Die Daten zum entsprechenden Projekt wurden bei der Zweitbeschwerdegegnerin am 30. Juni 2024 gelöscht. Beweiswürdigung: Die getroffenen Feststellungen ergeben sich aus dem insofern unwidersprochenen Vorbringen der Beschwerdeführerin und dem von ihr vorgelegten Schriftverkehr. D. In rechtlicher Hinsicht folgt daraus: 1) Zur datenschutzrechtlichen Rollenverteilung a) Zum Erstbeschwerdegegner Gemäß § 1 Abs. 1 AMSG obliegt die Durchführung der Arbeitsmarktpolitik des Bundes dem „Arbeitsmarktservice“, bei dem es sich um ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit handelt.
Abs. 2 leg. cit. ist das Arbeitsmarktservice in eine Bundesorganisation, in Landesorganisationen für jedes Bundesland und innerhalb der Bundesländer in regionale Organisationen gegliedert. Die Bundesorganisation führt gemäß Abs. 3 leg. cit. die Bezeichnung „Arbeitsmarktservice Österreich“.Gemäß Paragraph eins, Absatz eins, AMSG obliegt die Durchführung der Arbeitsmarktpolitik des Bundes dem „Arbeitsmarktservice“, bei dem es sich um ein Dienstleistungsunternehmen des öffentlichen Rechts mit eigener Rechtspersönlichkeit handelt.
Absatz 2, leg. cit. ist das Arbeitsmarktservice in eine Bundesorganisation, in Landesorganisationen für jedes Bundesland und innerhalb der Bundesländer in regionale Organisationen gegliedert. Die Bundesorganisation führt gemäß Absatz 3, leg. cit. die Bezeichnung „Arbeitsmarktservice Österreich“. Zunächst setzt sich der VwGH eingehend mit der Frage der Hoheitsverwaltung auseinander und hält abschließend fest, dass es sich bei der Arbeitsvermittlung und Vergabe von Beihilfen etc. um Privatwirtschaftsverwaltung und keine hoheitliche Tätigkeit handelt. Die Vorgabe des § 1 Abs. 2 DSG hinsichtlich staatlicher Behörden kommt daher nicht zur Anwendung.Zunächst setzt sich der VwGH eingehend mit der Frage der Hoheitsverwaltung auseinander und hält abschließend fest, dass es sich bei der Arbeitsvermittlung und Vergabe von Beihilfen etc. um Privatwirtschaftsverwaltung und keine hoheitliche Tätigkeit handelt. Die Vorgabe des Paragraph eins, Absatz 2, DSG hinsichtlich staatlicher Behörden kommt daher nicht zur Anwendung.
2 Z 2 DSG ist der Beschwerdegegner vom Beschwerdeführer zu benennen. Der Datenschutzbehörde steht es nicht zu, eine solche ausdrückliche Bezeichnung zu ändern und die Partei, mit der sich der Beschwerdeführer in das Verfahren einlassen will, gegen eine andere, von ihm nicht bezeichnete, auszutauschen (vgl. dazu das Erkenntnis des Bundesverwaltungsgerichts vom 19. Jänner 2017, GZ W214 2117066-1 mwN).
Paragraph 24, Absatz 2, Ziffer 2, DSG ist der Beschwerdegegner vom Beschwerdeführer zu benennen. Der Datenschutzbehörde steht es nicht zu, eine solche ausdrückliche Bezeichnung zu ändern und die Partei, mit der sich der Beschwerdeführer in das Verfahren einlassen will, gegen eine andere, von ihm nicht bezeichnete, auszutauschen vergleiche dazu das Erkenntnis des Bundesverwaltungsgerichts vom 19. Jänner 2017, GZ W214 2117066-1 mwN). Die Festlegung der datenschutzrechtlichen Rollenverteilung ist für das Beschwerdeverfahren
Art. 77 Abs. 1 DSGVO von entscheidender Bedeutung, da bestimmt wird, wer für die Einhaltung der jeweiligen Datenschutzbestimmungen verantwortlich ist, wie die betroffene Person ihre Rechte ausüben kann und letztlich auch gegen wen (also welchen Verantwortlichen) die Datenschutzbeschwerde gerichtet werden muss (Beschwerdegegner).Die Festlegung der datenschutzrechtlichen Rollenverteilung ist für das Beschwerdeverfahren
Paragraph 24, DSG bzw. Artikel 77, Absatz eins, DSGVO von entscheidender Bedeutung, da bestimmt wird, wer für die Einhaltung der jeweiligen Datenschutzbestimmungen verantwortlich ist, wie die betroffene Person ihre Rechte ausüben kann und letztlich auch gegen wen (also welchen Verantwortlichen) die Datenschutzbeschwerde gerichtet werden muss (Beschwerdegegner). Einer betroffenen Person - die zudem nicht durch einen Parteienvertreter vertreten ist - ist es jedoch nicht in jedem Fall zumutbar, selbstständig die datenschutzrechtliche Rollenverteilung und Verantwortlichkeit anhand eines Sachverhalts vorzunehmen und den Beschwerdegegner abschließend in der Eingabe zu benennen. Für diese Auslegung spricht auch der Wortlaut des § 24 Abs. 2 Z 2 DSG, wonach, der Beschwerdegegner nur „soweit dies zumutbar ist“ anzugeben ist.Für diese Auslegung spricht auch der Wortlaut des Paragraph 24, Absatz 2, Ziffer 2, DSG, wonach, der Beschwerdegegner nur „soweit dies zumutbar ist“ anzugeben ist. Vor diesem Hintergrund ist auf das dargestellte Ziel der Beschwerdeführerin abzustellen und ist im Sinne einer betroffenenfreundlichen Interpretation die ursprüngliche Eingabe der Beschwerdeführerin derart zu interpretieren, dass sich die Beschwerde gegen die „Organisation AMS“ als Erstbeschwerdegegner richtet und die Beschwerdeführerin als in Wien wohnhafte Person mit der Landesgeschäftsstelle Wien zu tun hatte und daher diese fälschlicherweise als Erstbeschwerdegegner benannt hat. b) Zur Zweitbeschwerdegegnerin Wie bereits ausgeführt, ist die Festlegung der datenschutzrechtlichen Rollenverteilung für das Beschwerdeverfahren
Art. 77 Abs. 1 DSGVO von entscheidender Bedeutung. Wie bereits ausgeführt, ist die Festlegung der datenschutzrechtlichen Rollenverteilung für das Beschwerdeverfahren
Paragraph 24, DSG bzw. Artikel 77, Absatz eins, DSGVO von entscheidender Bedeutung.
Z 7 DSGVO ist jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle Verantwortlicher für eine Verarbeitung, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Dabei ist das wesentliche Kriterium die Entscheidungskomponente. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Der „Zweck“ beschreibt dabei ein erwartetes Ergebnis, während die „Mittel“ die Art und Weise festlegen, wie das erwartete Ergebnis erreicht werden soll (vgl. die EDSA Guidelines vom 2. September 2020 07/2020 zum Konzept des Verantwortlichen und Auftragsverarbeiters Rz 15 ff).
, Ziffer 7, DSGVO ist jene natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle Verantwortlicher für eine Verarbeitung, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Dabei ist das wesentliche Kriterium die Entscheidungskomponente. Die Rolle des Verantwortlichen ergibt sich somit in erster Linie aus dem Faktum, dass eine bestimmte Stelle entschieden hat, personenbezogene Daten für ihre eigenen Zwecke zu verarbeiten. Der „Zweck“ beschreibt dabei ein erwartetes Ergebnis, während die „Mittel“ die Art und Weise festlegen, wie das erwartete Ergebnis erreicht werden soll vergleiche die EDSA Guidelines vom 2. September 2020 07 aus 2020, zum Konzept des Verantwortlichen und Auftragsverarbeiters Rz 15 ff). Auftragsverarbeiter gemäß Art. 4 Z 8 DSGVO ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Kern der Tätigkeit des Auftragsverarbeiters ist es, personenbezogene Daten im Auftrag des Verantwortlichen als dessen „verlängerter Arm“ zu verarbeiten. Der Auftragsverarbeiter übt zwar die physische Herrschaft über den Verarbeitungsprozess aus, entscheidet aber nicht selbst über die Zwecke und Mittel der Verarbeitung. Er agiert vielmehr
Weisung des Verantwortlichen und ohne eigenen Wertungs- und Entscheidungsspielraum. Im Gegenzug muss sich der Verantwortliche das Handeln des Auftragsverarbeiters zurechnen lassen als sei dieser Teil seines eigenen Unternehmens. Als „Herr über die Datenverarbeitung“ trägt er dafür mit Ausnahme eines Auftragsexzesses (gemäß Art. 28 Abs. 10 DSGVO) auch die alleinige Verantwortung (vgl. Martini in Paal/Pauly, Datenschutz- Grundverordnung, Art. 28, Rn 2).Auftragsverarbeiter gemäß Artikel 4, Ziffer 8, DSGVO ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Kern der Tätigkeit des Auftragsverarbeiters ist es, personenbezogene Daten im Auftrag des Verantwortlichen als dessen „verlängerter Arm“ zu verarbeiten. Der Auftragsverarbeiter übt zwar die physische Herrschaft über den Verarbeitungsprozess aus, entscheidet aber nicht selbst über die Zwecke und Mittel der Verarbeitung. Er agiert vielmehr
Weisung des Verantwortlichen und ohne eigenen Wertungs- und Entscheidungsspielraum. Im Gegenzug muss sich der Verantwortliche das Handeln des Auftragsverarbeiters zurechnen lassen als sei dieser Teil seines eigenen Unternehmens. Als „Herr über die Datenverarbeitung“ trägt er dafür mit Ausnahme eines Auftragsexzesses (gemäß Artikel 28, Absatz 10, DSGVO) auch die alleinige Verantwortung vergleiche Martini in Paal/Pauly, Datenschutz- Grundverordnung, Artikel 28,, Rn 2).
Er führt daher die Verarbeitung für den Auftraggeber (Verantwortlichen) nicht als Dritter iSd Art. 4 Abs. 10 DSGVO durch. Es besteht vielmehr zwischen dem, den Auftrag erteilenden Verantwortlichen und seinem Auftragsverarbeiter ein „Innenverhältnis“. Die Verarbeitung durch den Auftragsverarbeiter wird deshalb grundsätzlich dem Verantwortlichen zugerechnet.
Er führt daher die Verarbeitung für den Auftraggeber (Verantwortlichen) nicht als Dritter iSd Artikel 4, Absatz 10, DSGVO durch. Es besteht vielmehr zwischen dem, den Auftrag erteilenden Verantwortlichen und seinem Auftragsverarbeiter ein „Innenverhältnis“. Die Verarbeitung durch den Auftragsverarbeiter wird deshalb grundsätzlich dem Verantwortlichen zugerechnet. Darüber hinaus sieht Art. 28 DSGVO ausdrücklich die Rechtsfigur des Auftragsverarbeiters vor:Darüber hinaus sieht Artikel 28, DSGVO ausdrücklich die Rechtsfigur des Auftragsverarbeiters vor:
Gr 81 der Verordnung ergibt sich, dass ein Auftragsverarbeiter die Datenverarbeitung im Namen des Verantwortlichen durchführt, dieser also der „verlängerte Arm“ des Verantwortlichen ist.
Gr 81 der Verordnung ergibt sich, dass ein Auftragsverarbeiter die Datenverarbeitung im Namen des Verantwortlichen durchführt, dieser also der „verlängerte Arm“ des Verantwortlichen ist. Ausgehend von den genannten Bestimmungen hat das BVwG bereits ausgesprochen, dass die Auftragsverarbeitung als Teil der Verarbeitung durch den Verantwortlichen selbst zu sehen ist (vgl. das Erkenntnis des BVwG vom
Möglichkeit vom Auftragsverarbeiter unterstützt. Gemäß Art. 28 Abs. 3 lit. e DSGVO ist sicherzustellen, dass er „angesichts der Art der Verarbeitung den Verantwortlichen
Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person
zukommen“. Hier ist jedoch lediglich von der Unterstützung des Verantwortlichen die Rede.Gemäß Artikel 28, Absatz 3, Litera e, DSGVO ist sicherzustellen, dass er „angesichts der Art der Verarbeitung den Verantwortlichen
Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel römisch drei genannten Rechte der betroffenen Person
zukommen“. Hier ist jedoch lediglich von der Unterstützung des Verantwortlichen die Rede. Ebenso ergibt sich bereits aus dem klaren Wortlaut des Art. 15 DSGVO, dass Auskunftsersuchen an den Verantwortlichen zu richten sind. Die Pflicht zur Erteilung einer Auskunft
DSGVO trifft somit nur jemanden, dem die Eigenschaft als Verantwortlicher zukommt („Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen ...“).Ebenso ergibt sich bereits aus dem klaren Wortlaut des Artikel 15, DSGVO, dass Auskunftsersuchen an den Verantwortlichen zu richten sind. Die Pflicht zur Erteilung einer Auskunft
, DSGVO trifft somit nur jemanden, dem die Eigenschaft als Verantwortlicher zukommt („Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen ...“). Anhaltspunkte dahingehend, dass die Zweitbeschwerdegegnerin ihre Pflichten aus der Auftragsverarbeitervereinbarung verletzt hätte und diese gemäß Art. 28 Abs. 10 DSGVO (eigenständige) Verantwortliche ist, liegen nicht vor und wurde dies auch nicht seitens der Beschwerdeführerin behauptet.Anhaltspunkte dahingehend, dass die Zweitbeschwerdegegnerin ihre Pflichten aus der Auftragsverarbeitervereinbarung verletzt hätte und diese gemäß Artikel 28, Absatz 10, DSGVO (eigenständige) Verantwortliche ist, liegen nicht vor und wurde dies auch nicht seitens der Beschwerdeführerin behauptet. Die Beschwerde gegen die Zweitbeschwerdegegnerin war daher mangels Verantwortlicheneigenschaft abzuweisen. 2) Zum Auskunftsrecht
DSGVOZum Auskunftsrecht
15 Abs. 1 DSGVO hat die betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und, soweit dies der Fall ist, hat der Betroffene das Recht auf Auskunft über diese personenbezogenen Daten und einen Anspruch auf die Informationen gemäß Art. 15 Abs. 1 lit. a bis h DSGVO.Gemäß Artikel 15, Absatz eins, DSGVO hat die betroffene Person das Recht, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden und, soweit dies der Fall ist, hat der Betroffene das Recht auf Auskunft über diese personenbezogenen Daten und einen Anspruch auf die Informationen gemäß Artikel 15, Absatz eins, Litera a, bis h DSGVO. Das Auskunftsrecht gemäß Art. 15 DSGVO dient dabei als Instrument, welches einer betroffenen Person ermöglicht, sich der Verarbeitung durch einen Verantwortlichen bewusst zu werden und die Rechtmäßigkeit der Verarbeitung zu überprüfen (vgl. ErwGr. 63 erster Satz DSGVO). Mit anderen Worten ermöglicht das Auskunftsrecht der betroffenen Person einen Einblick in das „Ob und Wie“ der Verarbeitung (vgl. Paal in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung Kommentar, Art. 15, Rz. 3).Das Auskunftsrecht gemäß Artikel 15, DSGVO dient dabei als Instrument, welches einer betroffenen Person ermöglicht, sich der Verarbeitung durch einen Verantwortlichen bewusst zu werden und die Rechtmäßigkeit der Verarbeitung zu überprüfen vergleiche ErwGr. 63 erster Satz DSGVO). Mit anderen Worten ermöglicht das Auskunftsrecht der betroffenen Person einen Einblick in das „Ob und Wie“ der Verarbeitung vergleiche Paal in Paal/Pauly [Hrsg.], Datenschutz-Grundverordnung Kommentar, Artikel 15,, Rz. 3). b) Zur Häufigkeit und Exzessivität von Auskunftsersuchen
DSGVO können Auskünfte
Art. 12 Abs. 5 lit b DSGVO), wenn sie - insbesondere im Fall von häufiger Wiederholung - „exzessiv“ sind. Die Grenzlinie bildet demnach eine rechtsmissbräuchliche Rechtsausübung. Freilich ist „sehr häufig“ zuweilen ein dehnbarer Begriff (vgl. Illibauer in Knyrim, DatKomm Art. 12 DSGVO Rz 68 f). Eine Regelung wie vormals § 26 Abs. 6 DSG 2000, wonach die Auskunft einmal pro Jahr unentgeltlich zu erteilen war, sofern der Antrag den „aktuellen Datenbestand“ betraf, enthält die DSGVO nicht.
, DSGVO können Auskünfte
, nur dann verweigert werden vergleiche Artikel 12, Absatz 5, Litera b, DSGVO), wenn sie - insbesondere im Fall von häufiger Wiederholung - „exzessiv“ sind. Die Grenzlinie bildet demnach eine rechtsmissbräuchliche Rechtsausübung. Freilich ist „sehr häufig“ zuweilen ein dehnbarer Begriff vergleiche Illibauer in Knyrim, DatKomm Artikel 12, DSGVO Rz 68 f). Eine Regelung wie vormals Paragraph 26, Absatz 6, DSG 2000, wonach die Auskunft einmal pro Jahr unentgeltlich zu erteilen war, sofern der Antrag den „aktuellen Datenbestand“ betraf, enthält die DSGVO nicht. Das Auskunftsrecht muss gemäß Erwägungsgrund 63 Satz 1 in „angemessenen Abständen“ wahrgenommen werden können und hängt die Beurteilung, ob von häufigen Wiederholungen bzw. exzessiven Auskunftsanträgen auszugehen ist,
hA davon ab, wie dynamisch der Datenbestand ist und damit wie häufig Änderungen zu erwarten sind (vgl. OLG Wien 14 R 48/24t vom 10. Juni 2024).Das Auskunftsrecht muss gemäß Erwägungsgrund 63 Satz 1 in „angemessenen Abständen“ wahrgenommen werden können und hängt die Beurteilung, ob von häufigen Wiederholungen bzw. exzessiven Auskunftsanträgen auszugehen ist,
hA davon ab, wie dynamisch der Datenbestand ist und damit wie häufig Änderungen zu erwarten sind vergleiche OLG Wien 14 R 48/24t vom 10. Juni 2024). Wird das Auskunftsrecht unverhältnismäßig häufig geltend gemacht oder ist der Auskunftsantrag offenkundig unbegründet, so kann der für die Verarbeitung Verantwortliche gem. Art. 12 Abs. 5 DSGVO ein angemessenes Entgelt verlangen oder die Auskunft verweigern, wobei der für die Verarbeitung Verantwortliche den
weis des unbegründeten oder unverhältnismäßigen Charakters des Antrags zu erbringen hat (vgl. Specht in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar. Art. 15 Rz. 7).Wird das Auskunftsrecht unverhältnismäßig häufig geltend gemacht oder ist der Auskunftsantrag offenkundig unbegründet, so kann der für die Verarbeitung Verantwortliche gem. Artikel 12, Absatz 5, DSGVO ein angemessenes Entgelt verlangen oder die Auskunft verweigern, wobei der für die Verarbeitung Verantwortliche den
weis des unbegründeten oder unverhältnismäßigen Charakters des Antrags zu erbringen hat vergleiche Specht in Sydow [Hrsg.], Europäische Datenschutzgrundverordnung. Handkommentar. Artikel 15, Rz. 7). c) Zu den Auskunftsanträgen Die Beschwerdeführerin ersuchte mit E-Mail vom 7. August 2023 an die Zweitbeschwerdegegnerin um „Übermittlung des Berichts an das AMS sowie des von [ihr] ausgefüllten Fragebogens“. Diese E-Mail ist der Zweitbeschwerdegegnerin auch
weislich zugegangen, da sie am 8. August 2023 darauf geantwortet hat, jedoch ohne Übermittlung des ausgefüllten Fragebogens. In besagter E-Mail der Beschwerdeführerin lässt sich jedoch aus Sicht der Datenschutzbehörde nur das „Ersuchen um Übermittlung“ erkennen, jedoch kein Antrag
August 2023 an die Zweitbeschwerdegegnerin um „Übermittlung des Berichts an das AMS sowie des von [ihr] ausgefüllten Fragebogens“. Diese E-Mail ist der Zweitbeschwerdegegnerin auch
weislich zugegangen, da sie am 8. August 2023 darauf geantwortet hat, jedoch ohne Übermittlung des ausgefüllten Fragebogens. In besagter E-Mail der Beschwerdeführerin lässt sich jedoch aus Sicht der Datenschutzbehörde nur das „Ersuchen um Übermittlung“ erkennen, jedoch kein Antrag
Bei der Beurteilung, ob ein für den Verantwortlichen als auf ein bestimmtes Recht
der DSGVO erkennbares Begehren vorliegt, ist dieses auf seinen Inhalt zu prüfen, wobei jener Maßstab anzulegen ist, der auch für einseitige privatrechtliche Willenserklärungen gilt. Demnach sind der Wortlaut und das Verständnis der Erklärung aus objektiver Sicht, nämlich so wie sie der Empfänger
ihrem Wortlaut und ihrem Zweck bei objektiver Betrachtung verstehen konnte, zu betrachten (vgl. BVwG 3.5.2018, W256 2190554-1, zum Auskunftsbegehren
A 148/99a).Bei der Beurteilung, ob ein für den Verantwortlichen als auf ein bestimmtes Recht
der DSGVO erkennbares Begehren vorliegt, ist dieses auf seinen Inhalt zu prüfen, wobei jener Maßstab anzulegen ist, der auch für einseitige privatrechtliche Willenserklärungen gilt. Demnach sind der Wortlaut und das Verständnis der Erklärung aus objektiver Sicht, nämlich so wie sie der Empfänger
ihrem Wortlaut und ihrem Zweck bei objektiver Betrachtung verstehen konnte, zu betrachten vergleiche BVwG 3.5.2018, W256 2190554-1, zum Auskunftsbegehren
Paragraph 26, DSG 2000 und betreffend die Auslegung unter Verweis auf die Rechtsprechung des OGH, etwa OGH 15.9.1999, 9 ObA 148/99a). In der E-Mail der Beschwerdeführerin an die Zweitbeschwerdegegnerin findet sich weder im Betreff noch im Text ein Hinweis darauf, dass es sich bei dem gegenständlichen Schreiben um ein datenschutzrechtliches Auskunftsersuchen handelt. Vielmehr ersucht die Beschwerdeführerin um Übermittlung des Berichts an das AMS sowie des Fragebogens. Das Schreiben vom 7. August 2023 kann vom Empfängerhorizont aus betrachtet somit nicht als datenschutzrechtliches Auskunftsbegehren gedeutet werden (vgl. in diesem Zusammenhang zur alten Rechtslage den Bescheid der DSK vom 22.10.2008, K121.386/0009-DSK/2008,
dem nicht jedes Verlangen
einer nicht näher spezifizierten Auskunft oder
Herausgabe von Dokumenten zwingend als datenschutzrechtlicher Auskunftsantrag zu werten ist) und ist somit aus datenschutzrechtlicher Sicht in einem Beschwerdeverfahren nicht weiter zu prüfen, ob die Zweitbeschwerdegegnerin als Auftragsverarbeiterin anders mit dem Schreiben hätte umgehen müssen.Das Schreiben vom 7. August 2023 kann vom Empfängerhorizont aus betrachtet somit nicht als datenschutzrechtliches Auskunftsbegehren gedeutet werden vergleiche in diesem Zusammenhang zur alten Rechtslage den Bescheid der DSK vom 22.10.2008, K121.386/0009-DSK/2008,
dem nicht jedes Verlangen
einer nicht näher spezifizierten Auskunft oder
Herausgabe von Dokumenten zwingend als datenschutzrechtlicher Auskunftsantrag zu werten ist) und ist somit aus datenschutzrechtlicher Sicht in einem Beschwerdeverfahren nicht weiter zu prüfen, ob die Zweitbeschwerdegegnerin als Auftragsverarbeiterin anders mit dem Schreiben hätte umgehen müssen. Wie festgestellt hat die Beschwerdeführerin am
den konkreten Förderbestimmungen mit dem Träger als vom Erstbeschwerdegegner relevant angesehen werden, nämlich die im Fördervertrag mit dem Träger unter § 9 definierten Daten, im Wesentlichen damit Ein- und Austrittsdaten, Zwischen- und Endbericht, Lebenslauf, sowie das Ergebnis der „JobImpuls-Methode“ (Daten mit Personenbezug) sowie aggregierte Daten im sogenannten Zwischen- und Endbericht an die Landesgeschäftsstelle (aggregierte Daten) und
Projektende noch abrechnungsrelevante Daten zum Projekt (Daten nur mit Projektbezug).Wie festgestellt hat der Träger (die Zweitbeschwerdegegnerin) grundsätzlich nicht den Auftrag sämtliche verarbeitete Daten dem Erstbeschwerdegegner zu übermitteln, sondern nur jene, welche
den konkreten Förderbestimmungen mit dem Träger als vom Erstbeschwerdegegner relevant angesehen werden, nämlich die im Fördervertrag mit dem Träger unter Paragraph 9, definierten Daten, im Wesentlichen damit Ein- und Austrittsdaten, Zwischen- und Endbericht, Lebenslauf, sowie das Ergebnis der „JobImpuls-Methode“ (Daten mit Personenbezug) sowie aggregierte Daten im sogenannten Zwischen- und Endbericht an die Landesgeschäftsstelle (aggregierte Daten) und
Projektende noch abrechnungsrelevante Daten zum Projekt (Daten nur mit Projektbezug). Wie oben unter „Zur datenschutzrechtlichen Rollenverteilung“ ausgeführt, agiert im gegenständlichen Fall die Zweitbeschwerdegegnerin als Auftragsverarbeiterin des Erstbeschwerdegegners und sind die Verarbeitungen von personenbezogenen Daten durch die Zweitbeschwerdegegnerin somit dem Erstbeschwerdegegner zuzurechnen. Im konkreten Fall hat die Zweitbeschwerdegegnerin dem Erstbeschwerdegegner das Ein- und Austrittsdatum sowie den Endbericht des Potentialchecks betreffend die Beschwerdeführerin übermittelt. Die Daten zum entsprechenden Projekt wurden bei der Zweitbeschwerdegegnerin am 30. Juni 2024 - somit während des laufenden Ermittlungsverfahrens vor der Datenschutzbehörde - gelöscht. Dem gegenüber wurde der Erhebungsbogen, wie den Sachverhaltsfeststellungen zu entnehmen ist, bereits
dem Erstgespräch zwischen der Zweitbeschwerdegegnerin und der Beschwerdeführerin betreffend die BBE gelöscht.
dem die Beschwerdeführerin der Zweitbeschwerdegegnerin mit E-Mail vom
dem DSG 2000 kein ausdrückliches Löschverbot von personenbezogenen Daten ab Kenntnis eines Auskunftsverlangens mehr postuliert, vertritt die Datenschutzbehörde in ständiger Spruchpraxis (vgl. etwa den Bescheid der Datenschutzbehörde vom 27. Juni 2019, GZ: DSB-D124.071/0005-DSB/2019, abrufbar im RIS), dass die Vorgehensweise,
Eingang eines Auskunftsbegehrens die in Frage stehenden Daten zu löschen und danach eine Negativauskunft zu erteilen, einen Verstoß gegen den Grundsatz der Verarbeitung
Treu und Glauben und damit verbunden, eine Verletzung des Rechts auf Auskunft der betroffenen Person (Art. 15 iVm Art. 5 Abs. 1 lit. a DSGVO), darstellen kann. Gleiches gilt für die Löschung von noch nicht beauskunfteten personenbezogenen Daten der antragstellenden Person, welche der Verantwortliche verarbeitet. Selbst wenn der Verantwortliche die Ansicht vertritt, bestimmte Daten oder auch im Sinne des Art. 15 Abs. 3 DSGVO bestimmte Dokumente nicht beauskunften zu müssen, so steht einer Löschung während aufrechten Auskunftsantrages oder insbesondere während eines laufenden Verfahrens vor der Datenschutzbehörde im Recht auf Auskunft entgegen, da die Löschung eine Prüfung der Datenschutzbehörde, ob die Auskunft in diesen Daten zu Recht verweigert wurde, vereiteln würde.Auch wenn die DSGVO bzw. das DSG im Gegensatz zur alten Rechtslage
dem DSG 2000 kein ausdrückliches Löschverbot von personenbezogenen Daten ab Kenntnis eines Auskunftsverlangens mehr postuliert, vertritt die Datenschutzbehörde in ständiger Spruchpraxis vergleiche etwa den Bescheid der Datenschutzbehörde vom 27. Juni 2019, GZ: DSB-D124.071/0005-DSB/2019, abrufbar im RIS), dass die Vorgehensweise,
Eingang eines Auskunftsbegehrens die in Frage stehenden Daten zu löschen und danach eine Negativauskunft zu erteilen, einen Verstoß gegen den Grundsatz der Verarbeitung
Treu und Glauben und damit verbunden, eine Verletzung des Rechts auf Auskunft der betroffenen Person (Artikel 15, in Verbindung mit Artikel 5, Absatz eins, Litera a, DSGVO), darstellen kann. Gleiches gilt für die Löschung von noch nicht beauskunfteten personenbezogenen Daten der antragstellenden Person, welche der Verantwortliche verarbeitet. Selbst wenn der Verantwortliche die Ansicht vertritt, bestimmte Daten oder auch im Sinne des Artikel 15, Absatz 3, DSGVO bestimmte Dokumente nicht beauskunften zu müssen, so steht einer Löschung während aufrechten Auskunftsantrages oder insbesondere während eines laufenden Verfahrens vor der Datenschutzbehörde im Recht auf Auskunft entgegen, da die Löschung eine Prüfung der Datenschutzbehörde, ob die Auskunft in diesen Daten zu Recht verweigert wurde, vereiteln würde. Die Löschung von Daten auf die sich das konkrete beschwerdegegenständliche Auskunftsersuchen bezieht während eines laufenden Ermittlungsverfahrens vor der Datenschutzbehörde stellt somit eine Rechtsverletzung dar und war der Beschwerde diesbezüglich spruchgemäß stattzugeben. e) Zur Beauskunftung von Dokumenten Die Beschwerdeführerin bringt
Mangelbehebungsauftrag der Datenschutzbehörde mit Schreiben vom
vollziehbarer Art und Weise erfolgt (vgl. Urteil des EuGH vom
vollziehbarer Art und Weise erfolgt vergleiche Urteil des EuGH vom
festgelegte Verwaltungssache, die „in Verhandlung stehende Angelegenheit“ gemäß § 59 Abs. 1 AVG. Gemäß Artikel 57, Absatz eins, Litera f, DSGVO muss die Datenschutzbehörde den Gegenstand der Beschwerde in angemessenem Umfang untersuchen. Der „Gegenstand der Beschwerde“ ist die durch das Vorbringen der Partei bei Antragstellung, hier: bei Beschwerdeerhebung, dem Umfang
festgelegte Verwaltungssache, die „in Verhandlung stehende Angelegenheit“ gemäß Paragraph 59, Absatz eins, AVG. Das Bundesverwaltungsgericht hat bereits mehrfach ausgesprochen, dass sich der Gegenstand eines Beschwerdeverfahrens vor der Datenschutzbehörde - weil antragsgebunden - auf das Vorbringen des jeweiligen Beschwerdeführers zu beschränken hat und es bei der Ermittlung von dessen Rechtsqualität und Inhalt nicht auf die Bezeichnung, sondern vielmehr auf den Inhalt, also auf das daraus erkenn- und erschließbare Ziel, ankommt (vgl. etwa das Erkenntnis des BVwG vom
KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.