Entscheidungsdatum
25.09.2024Norm
B-VG Art133 Abs4Spruch
W108 2274176-1/11E
BESCHLUSS
Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. KUNZ als Beisitzerin und Beisitzer über die Beschwerde des XXXX gegen den Bescheid der Datenschutzbehörde vom 15.05.2023, Zl. D124.0502/23 2023-0.321.765, betreffend eine datenschutzrechtliche Angelegenheit (Mitbeteiligter: XXXX , vertreten durch ANWALTGMBH Rinner Teuchtmann) beschlossen:Das Bundesverwaltungsgericht hat durch die Richterin Mag. BRAUCHART als Vorsitzende sowie die fachkundige Laienrichterin Dr. FELLNER-RESCH und den fachkundigen Laienrichter Mag. KUNZ als Beisitzerin und Beisitzer über die Beschwerde des römisch 40 gegen den Bescheid der Datenschutzbehörde vom 15.05.2023, Zl. D124.0502/23 2023-0.321.765, betreffend eine datenschutzrechtliche Angelegenheit (Mitbeteiligter: römisch 40 , vertreten durch ANWALTGMBH Rinner Teuchtmann) beschlossen:
A)
Der Beschwerde wird stattgegeben, der angefochtene Bescheid gemäß § 28 Abs. 3 zweiter Satz VwGVG aufgehoben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverwiesen.Der Beschwerde wird stattgegeben, der angefochtene Bescheid gemäß Paragraph 28, Absatz 3, zweiter Satz VwGVG aufgehoben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Datenschutzbehörde zurückverwiesen.
B)
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.
Text
Begründung:
I. Verfahrensgang und Sachverhalt:römisch eins. Verfahrensgang und Sachverhalt:
1. In der verfahrensgegenständlichen an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde gemäß § 24 Datenschutzgesetz (DSG) vom 10.03.2023 machte der nunmehrige Mitbeteiligte, XXXX (ehemaliger Beschwerdeführer im Verfahren vor der belangten Behörde) eine Verletzung im Recht auf Geheimhaltung gemäß § 1 Abs. 1 DSG durch die nunmehrige Beschwerdeführerin (ehemalige Beschwerdegegnerin im Verfahren vor der belangten Behörde) geltend. 1. In der verfahrensgegenständlichen an die Datenschutzbehörde (belangte Behörde vor dem Bundesverwaltungsgericht) gerichteten Datenschutzbeschwerde gemäß Paragraph 24, Datenschutzgesetz (DSG) vom 10.03.2023 machte der nunmehrige Mitbeteiligte, römisch 40 (ehemaliger Beschwerdeführer im Verfahren vor der belangten Behörde) eine Verletzung im Recht auf Geheimhaltung gemäß Paragraph eins, Absatz eins, DSG durch die nunmehrige Beschwerdeführerin (ehemalige Beschwerdegegnerin im Verfahren vor der belangten Behörde) geltend.
Dazu brachte der Mitbeteiligte zusammengefasst vor, dass eine (namentlich genannte) Mitarbeiterin der Beschwerdeführerin am 07.02.2023 bei einem unangemeldeten Besuch der XXXX praxis des Mitbeteiligten nicht autorisiert Daten gesammelt habe, indem sie von einer Mitarbeiterin des Mitbeteiligten nach entsprechender Einschüchterung Informationen erhalten habe. Im Anschluss sei ein Bericht mit vielen Informationen über die Praxis verfasst und per Mail an die Firma „ XXXX “ gesendet worden. Er beantrage, dass die belangte Behörde eine Verletzung im Recht auf Geheimhaltung feststelle. Dazu brachte der Mitbeteiligte zusammengefasst vor, dass eine (namentlich genannte) Mitarbeiterin der Beschwerdeführerin am 07.02.2023 bei einem unangemeldeten Besuch der römisch 40 praxis des Mitbeteiligten nicht autorisiert Daten gesammelt habe, indem sie von einer Mitarbeiterin des Mitbeteiligten nach entsprechender Einschüchterung Informationen erhalten habe. Im Anschluss sei ein Bericht mit vielen Informationen über die Praxis verfasst und per Mail an die Firma „ römisch 40 “ gesendet worden. Er beantrage, dass die belangte Behörde eine Verletzung im Recht auf Geheimhaltung feststelle.
2. Über Aufforderung der belangten Behörde erstattete die Beschwerdeführerin am 30.03.2023 eine Stellungnahme zur Datenschutzbeschwerde des Mitbeteiligten und führte aus, dass die Beschwerde bestritten werde. Die Beschwerdeführerin sei die gemäß dem Arbeitsinspektionsgesetz 1993 (ArbIG) zur Wahrnehmung des gesetzlichen Schutzes der Arbeitnehmerinnen und Arbeitnehmer und zur Unterstützung und Beratung der Arbeitgeberinnen und Arbeitgeber und Arbeitnehmerinnen und Arbeitnehmer bei der Durchführung des Arbeitsschutzes berufene Behörde. XXXX , prov. Stellvertreterin des Abteilungsleiters der Außenstelle XXXX der Beschwerdeführerin, habe am 07.02.2023 in ihrer Funktion als Arbeitsinspektionsorgan in der Arbeitsstätte des Mitbeteiligten eine Besichtigung (Kontrolle) durchgeführt. Da der Mitbeteiligte selbst nicht an einem direkten Gespräch interessiert geschienen habe, habe die Ordinationsassistentin am Empfang die notwendigen Auskünfte zu erteilen bzw. die erforderlichen Unterlagen vorzulegen versucht. Im Sinne einer Deeskalation sei die Gesprächspartnerin als Auskunftsperson akzeptiert worden. Im Zuge der Erhebung sei festgestellt worden, dass Vorschriften zum Arbeitsschutz nicht eingehalten würden, und seitens des Arbeitsinspektionsorgans sei nochmals versucht worden, mit dem Mitbeteiligten Kontakt aufzunehmen, um ihn darüber zu beraten und ihn über die weitere Vorgehensweise zu informieren. Im Zuge dieses kurzen Beratungsgesprächs habe sich der Mitbeteiligte nicht kooperationsbereit gezeigt und sei für ein weiteres klärendes Gespräch nicht mehr zur Verfügung gestanden. Die Behauptung, wonach das Arbeitsinspektionsorgan nicht autorisiert Daten gesammelt hätte, indem eine Mitarbeiterin eingeschüchtert worden sei, werde bestritten. Richtig sei, dass es dem Organ des Arbeitsinspektorates zur Erreichung der Ziele des Arbeitsschutzes nicht nur gestattet, sondern es auch dazu verpflichtet sei, personen- und betriebsbezogene Daten zu verarbeiten und Arbeitsstätten darauf zu überprüfen, ob diese die für sie geltenden gesetzlichen Bestimmungen einhalten. Alle erhobenen Daten seien daher zur Beurteilung, ob die Einhaltung des Arbeitsschutzes gewährleistet sei, erforderlich gewesen und somit, im Hinblick auf das öffentliche Interesse an diesen Zielen, rechtmäßig verarbeitet worden. Das Arbeitsinspektionsorgan habe sich dem gesetzlichen Auftrag der Beschwerdeführerin entsprechend rechtskonform verhalten und sei entsprechend der im ArbIG normierten Rechte und Pflichten vorgegangen. Auf Nachfrage, ob es eine E-Mail-Adresse gebe und das Besichtigungsergebnis an diese versendet werden könne, habe die Mitarbeiterin die E-Mail-Adresse XXXX als Kontaktadresse für die Ordination angegeben. Im Zuge der Erstellung des Besichtigungsergebnisses im Arbeitsinspektorat sei die angegebene E-Mail-Adresse sogar nochmals auf Korrektheit überprüft worden. Es habe sich herausgestellt, dass im Jahr 2022 eine Meldung gemäß § 3 des Mutterschutzgesetzes für die Arbeitsstätte des Mitbeteiligten im Arbeitsinspektorat eingegangen sei. Unter den Kontaktdaten des Mitbeteiligten in dieser Meldung sei als E-Mail-Adresse XXXX angegeben worden. Aus diesem Grund habe davon ausgegangen werden können, dass es sich bei der von der Ansprechperson bekannt gegebenen E-Mail-Adresse um die offizielle Kontaktadresse der Ordination des Mitbeteiligten gehandelt habe. 2. Über Aufforderung der belangten Behörde erstattete die Beschwerdeführerin am 30.03.2023 eine Stellungnahme zur Datenschutzbeschwerde des Mitbeteiligten und führte aus, dass die Beschwerde bestritten werde. Die Beschwerdeführerin sei die gemäß dem Arbeitsinspektionsgesetz 1993 (ArbIG) zur Wahrnehmung des gesetzlichen Schutzes der Arbeitnehmerinnen und Arbeitnehmer und zur Unterstützung und Beratung der Arbeitgeberinnen und Arbeitgeber und Arbeitnehmerinnen und Arbeitnehmer bei der Durchführung des Arbeitsschutzes berufene Behörde. römisch 40 , prov. Stellvertreterin des Abteilungsleiters der Außenstelle römisch 40 der Beschwerdeführerin, habe am 07.02.2023 in ihrer Funktion als Arbeitsinspektionsorgan in der Arbeitsstätte des Mitbeteiligten eine Besichtigung (Kontrolle) durchgeführt. Da der Mitbeteiligte selbst nicht an einem direkten Gespräch interessiert geschienen habe, habe die Ordinationsassistentin am Empfang die notwendigen Auskünfte zu erteilen bzw. die erforderlichen Unterlagen vorzulegen versucht. Im Sinne einer Deeskalation sei die Gesprächspartnerin als Auskunftsperson akzeptiert worden. Im Zuge der Erhebung sei festgestellt worden, dass Vorschriften zum Arbeitsschutz nicht eingehalten würden, und seitens des Arbeitsinspektionsorgans sei nochmals versucht worden, mit dem Mitbeteiligten Kontakt aufzunehmen, um ihn darüber zu beraten und ihn über die weitere Vorgehensweise zu informieren. Im Zuge dieses kurzen Beratungsgesprächs habe sich der Mitbeteiligte nicht kooperationsbereit gezeigt und sei für ein weiteres klärendes Gespräch nicht mehr zur Verfügung gestanden. Die Behauptung, wonach das Arbeitsinspektionsorgan nicht autorisiert Daten gesammelt hätte, indem eine Mitarbeiterin eingeschüchtert worden sei, werde bestritten. Richtig sei, dass es dem Organ des Arbeitsinspektorates zur Erreichung der Ziele des Arbeitsschutzes nicht nur gestattet, sondern es auch dazu verpflichtet sei, personen- und betriebsbezogene Daten zu verarbeiten und Arbeitsstätten darauf zu überprüfen, ob diese die für sie geltenden gesetzlichen Bestimmungen einhalten. Alle erhobenen Daten seien daher zur Beurteilung, ob die Einhaltung des Arbeitsschutzes gewährleistet sei, erforderlich gewesen und somit, im Hinblick auf das öffentliche Interesse an diesen Zielen, rechtmäßig verarbeitet worden. Das Arbeitsinspektionsorgan habe sich dem gesetzlichen Auftrag der Beschwerdeführerin entsprechend rechtskonform verhalten und sei entsprechend der im ArbIG normierten Rechte und Pflichten vorgegangen. Auf Nachfrage, ob es eine E-Mail-Adresse gebe und das Besichtigungsergebnis an diese versendet werden könne, habe die Mitarbeiterin die E-Mail-Adresse römisch 40 als Kontaktadresse für die Ordination angegeben. Im Zuge der Erstellung des Besichtigungsergebnisses im Arbeitsinspektorat sei die angegebene E-Mail-Adresse sogar nochmals auf Korrektheit überprüft worden. Es habe sich herausgestellt, dass im Jahr 2022 eine Meldung gemäß Paragraph 3, des Mutterschutzgesetzes für die Arbeitsstätte des Mitbeteiligten im Arbeitsinspektorat eingegangen sei. Unter den Kontaktdaten des Mitbeteiligten in dieser Meldung sei als E-Mail-Adresse römisch 40 angegeben worden. Aus diesem Grund habe davon ausgegangen werden können, dass es sich bei der von der Ansprechperson bekannt gegebenen E-Mail-Adresse um die offizielle Kontaktadresse der Ordination des Mitbeteiligten gehandelt habe.
Es werde daher beantragt, die Datenschutzbeschwerde zurückzuweisen, da der verfahrensgegenständliche Sachverhalt nicht der datenschutzrechtlichen Verantwortlichkeit von XXXX unterliege, in eventu werde beantragt, die Datenschutzbeschwerde abzuweisen, da die Datenverarbeitung rechtmäßig erfolgt sei. Es werde daher beantragt, die Datenschutzbeschwerde zurückzuweisen, da der verfahrensgegenständliche Sachverhalt nicht der datenschutzrechtlichen Verantwortlichkeit von römisch 40 unterliege, in eventu werde beantragt, die Datenschutzbeschwerde abzuweisen, da die Datenverarbeitung rechtmäßig erfolgt sei.
3. Der Mitbeteiligte replizierte darauf – nachdem diesem durch die belangte Behörde Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens eingeräumt worden war – in seiner Stellungnahme vom 06.04.2023 zusammengefasst dahin, dass die Darstellungen der Beschwerdeführerin nicht den Tatsachen entsprechen würden. Es sei ausgeschlossen, dass seine Assistentin die E-Mail-Adresse eines anderen Unternehmens zum Zwecke der Übermittlung von u.a. personenbezogenen Daten angegeben habe. Alle seine Mitarbeiter seien (nicht zuletzt auch wegen anderer gesetzlicher Bestimmungen wie etwa § 54 ÄrzteG) sowohl betreffend die Datenverwendung als auch die Datenweitergabe genauestens geschult und sensibilisiert, um solche Umstände zu vermeiden. Die korrekte E-Mail-Adresse seiner XXXX praxis laute XXXX .3. Der Mitbeteiligte replizierte darauf – nachdem diesem durch die belangte Behörde Parteiengehör zu den Ergebnissen des Ermittlungsverfahrens eingeräumt worden war – in seiner Stellungnahme vom 06.04.2023 zusammengefasst dahin, dass die Darstellungen der Beschwerdeführerin nicht den Tatsachen entsprechen würden. Es sei ausgeschlossen, dass seine Assistentin die E-Mail-Adresse eines anderen Unternehmens zum Zwecke der Übermittlung von u.a. personenbezogenen Daten angegeben habe. Alle seine Mitarbeiter seien (nicht zuletzt auch wegen anderer gesetzlicher Bestimmungen wie etwa Paragraph 54, ÄrzteG) sowohl betreffend die Datenverwendung als auch die Datenweitergabe genauestens geschult und sensibilisiert, um solche Umstände zu vermeiden. Die korrekte E-Mail-Adresse seiner römisch 40 praxis laute römisch 40 .
4. Über Aufforderung der belangten Behörde übermittelte die Beschwerdeführerin mit Urkundenvorlage vom 27.04.2023 das Besichtigungsergebnis zur Arbeitsstätte des Mitbeteiligten vom 07.02.2023 sowie die im Jahr 2022 erstattete Meldung gemäß § 3 Abs. 6 MschG. 4. Über Aufforderung der belangten Behörde übermittelte die Beschwerdeführerin mit Urkundenvorlage vom 27.04.2023 das Besichtigungsergebnis zur Arbeitsstätte des Mitbeteiligten vom 07.02.2023 sowie die im Jahr 2022 erstattete Meldung gemäß Paragraph 3, Absatz 6, MschG.
5. Mit dem nunmehr angefochtenen Bescheid der belangten Behörde wurde der Datenschutzbeschwerde teilweise stattgegeben und festgestellt, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Geheimhaltung verletzt habe, indem sie das Besichtigungsergebnis betreffend die Arbeitsstätte des Mitbeteiligten vom 08.02.2023, GZ: XXXX , an die E-Mail-Adresse XXXX übermittelt und damit Daten des Mitbeteiligten unrechtmäßig gegenüber Dritten offengelegt habe.5. Mit dem nunmehr angefochtenen Bescheid der belangten Behörde wurde der Datenschutzbeschwerde teilweise stattgegeben und festgestellt, dass die Beschwerdeführerin den Mitbeteiligten dadurch in seinem Recht auf Geheimhaltung verletzt habe, indem sie das Besichtigungsergebnis betreffend die Arbeitsstätte des Mitbeteiligten vom 08.02.2023, GZ: römisch 40 , an die E-Mail-Adresse römisch 40 übermittelt und damit Daten des Mitbeteiligten unrechtmäßig gegenüber Dritten offengelegt habe.
Die belangte Behörde traf folgende Sachverhaltsfeststellungen:
„Frau XXXX ist die provisorische Stellvertreterin des Abteilungsleiters der Außenstelle XXXX im XXXX .„Frau römisch 40 ist die provisorische Stellvertreterin des Abteilungsleiters der Außenstelle römisch 40 im römisch 40 .
Am 7. Februar 2023 hat Frau XXXX in ihrer Funktion als Arbeitsinspektionsorgan in der Arbeitsstätte des Beschwerdeführers [Mitbeteiligten] eine Besichtigung bzw. Kontrolle durchgeführt.Am 7. Februar 2023 hat Frau römisch 40 in ihrer Funktion als Arbeitsinspektionsorgan in der Arbeitsstätte des Beschwerdeführers [Mitbeteiligten] eine Besichtigung bzw. Kontrolle durchgeführt.
Der Beschwerdegegner [Die Beschwerdeführerin] hat am 8. Februar 2023 ein an den Beschwerdeführer [Mitbeteiligten] adressiertes Besichtigungsergebnis mit der GZ: XXXX und dem „Betreff: Arbeitsstätte XXXX “ verfasst und an die E-Mail-Adresse XXXX verschickt.Der Beschwerdegegner [Die Beschwerdeführerin] hat am 8. Februar 2023 ein an den Beschwerdeführer [Mitbeteiligten] adressiertes Besichtigungsergebnis mit der GZ: römisch 40 und dem „Betreff: Arbeitsstätte römisch 40 “ verfasst und an die E-Mail-Adresse römisch 40 verschickt.
Das Besichtigungsergebnis vom 8. Februar 2023 mit der GZ: XXXX wird dem Sachverhalt zu Grunde gelegt.Das Besichtigungsergebnis vom 8. Februar 2023 mit der GZ: römisch 40 wird dem Sachverhalt zu Grunde gelegt.
Die E-Mail-Adresse XXXX ist dem Betrieb „ XXXX zugeordnet.“Die E-Mail-Adresse römisch 40 ist dem Betrieb „ römisch 40 zugeordnet.“
Rechtlich hielt die belangte Behörde fest, dass sich die Beschwerde zwar gegen Frau XXXX richte, jedoch ausschließlich ihre Tätigkeit als Arbeitsinspektionsorgan zum Gegenstand habe, weshalb das Verfahren nach der Rechtsprechung des Verwaltungsgerichtshofes gegen die Beschwerdeführerin, der das Verhalten von Frau XXXX zuzurechnen gewesen sei, zu führen sei. Rechtlich hielt die belangte Behörde fest, dass sich die Beschwerde zwar gegen Frau römisch 40 richte, jedoch ausschließlich ihre Tätigkeit als Arbeitsinspektionsorgan zum Gegenstand habe, weshalb das Verfahren nach der Rechtsprechung des Verwaltungsgerichtshofes gegen die Beschwerdeführerin, der das Verhalten von Frau römisch 40 zuzurechnen gewesen sei, zu führen sei.
Zur Ermittlung der Daten des Mitbeteiligten durch die Beschwerdeführerin sei festzuhalten, dass die Beschwerdeführerin gemäß § 3 Abs. 1 ArbIG die zur Wahrnehmung des gesetzlichen Schutzes der Arbeitnehmer/innen und zur Unterstützung und Beratung der Arbeitgeber/innen und Arbeitnehmer/innen bei der Durchführung des Arbeitnehmerschutzes berufene Behörde sei. Gemäß § 7 Abs. 1 ArbIG seien die Organe der Arbeitsinspektion befugt, bei Besichtigungen gemäß § 4 Arbeitgeber/innen, Arbeitnehmer/innen und die gemäß § 4 Abs. 5 und 7 beauftragten Personen über alle Umstände zu vernehmen, die den Aufgabenbereich der Arbeitsinspektion berühren, wobei gemäß § 8 Abs. 1 ArbIG den Arbeitsinspektionsorganen auf Verlangen alle Unterlagen zur Einsicht vorzulegen seien, die mit dem Arbeitnehmerschutz im Zusammenhang stehen. Die belangte Behörde sehe sich nach ihrer ständigen Spruchpraxis nicht berechtigt, unter den Vorzeichen des Datenschutzes eine nachprüfende Kontrolle über die Verfahrensführung durch andere Behörden auszuüben. Wenn es denkmöglich sei, dass die von einer in der Sache zuständigen Behörde ermittelten Daten nach Art und Inhalt für die Feststellung des relevanten Sachverhalts geeignet seien, sei die Zulässigkeit der Ermittlung aus datenschutzrechtlicher Sicht gegeben. Nur wo eine Behörde in denkunmöglicher oder überschießender Weise Daten ermittle, die für den angestrebten gesetzlich vorgesehenen Zweck keinesfalls benötigt würden, verletze sie durch ihre Verfahrensführung das Grundrecht auf Geheimhaltung personenbezogener Daten. Unter Berücksichtigung des Besichtigungsergebnisses der Beschwerdeführerin betreffend die Arbeitsstätte des Mitbeteiligten vom 08.02.2023 sei dies nach Ansicht der Datenschutzbehörde nicht der Fall gewesen. Zur Ermittlung der Daten des Mitbeteiligten durch die Beschwerdeführerin sei festzuhalten, dass die Beschwerdeführerin gemäß Paragraph 3, Absatz eins, ArbIG die zur Wahrnehmung des gesetzlichen Schutzes der Arbeitnehmer/innen und zur Unterstützung und Beratung der Arbeitgeber/innen und Arbeitnehmer/innen bei der Durchführung des Arbeitnehmerschutzes berufene Behörde sei. Gemäß Paragraph 7, Absatz eins, ArbIG seien die Organe der Arbeitsinspektion befugt, bei Besichtigungen gemäß Paragraph 4, Arbeitgeber/innen, Arbeitnehmer/innen und die gemäß Paragraph 4, Absatz 5 und 7 beauftragten Personen über alle Umstände zu vernehmen, die den Aufgabenbereich der Arbeitsinspektion berühren, wobei gemäß Paragraph 8, Absatz eins, ArbIG den Arbeitsinspektionsorganen auf Verlangen alle Unterlagen zur Einsicht vorzulegen seien, die mit dem Arbeitnehmerschutz im Zusammenhang stehen. Die belangte Behörde sehe sich nach ihrer ständigen Spruchpraxis nicht berechtigt, unter den Vorzeichen des Datenschutzes eine nachprüfende Kontrolle über die Verfahrensführung durch andere Behörden auszuüben. Wenn es denkmöglich sei, dass die von einer in der Sache zuständigen Behörde ermittelten Daten nach Art und Inhalt für die Feststellung des relevanten Sachverhalts geeignet seien, sei die Zulässigkeit der Ermittlung aus datenschutzrechtlicher Sicht gegeben. Nur wo eine Behörde in denkunmöglicher oder überschießender Weise Daten ermittle, die für den angestrebten gesetzlich vorgesehenen Zweck keinesfalls benötigt würden, verletze sie durch ihre Verfahrensführung das Grundrecht auf Geheimhaltung personenbezogener Daten. Unter Berücksichtigung des Besichtigungsergebnisses der Beschwerdeführerin betreffend die Arbeitsstätte des Mitbeteiligten vom 08.02.2023 sei dies nach Ansicht der Datenschutzbehörde nicht der Fall gewesen.
Zur Übermittlung der Daten des Mitbeteiligten an einen Dritten sei festzuhalten, dass das an den Mitbeteiligten adressierte Besichtigungsergebnis vom 08.02.2023 an die E-Mail-Adresse XXXX und somit an den Betrieb „ XXXX übermittelt worden sei. Zwar habe die Beschwerdeführerin eingewandt, dass ihr die E-Mail-Adresse von der Mitarbeiterin des Mitbeteiligten im Zuge der Besichtigung bzw. Kontrolle der Arbeitsstätte des Mitbeteiligten bekanntgegeben worden sei und diese mit einer im Jahr 2022 abgegebenen Meldung gemäß § 3 des Mutterschutzgesetzes für die Arbeitsstätte des Mitbeteiligten übereingestimmt habe, weshalb davon ausgegangen habe werden können, dass es sich dabei um die offizielle Kontaktadresse der Ordination des Mitbeteiligten gehandelt habe, allerdings komme es in einem Beschwerdeverfahren nicht darauf an, ob ein individuelles Verschulden vorliege, sondern darauf, ob eine objektive Rechtsverletzung stattgefunden habe. Da Daten des Mitbeteiligten von der Beschwerdeführerin durch die Übermittlung des Besichtigungsergebnisses vom 08.02.2023 unrechtmäßig an einen Dritten offengelegt worden seien, habe sich die Beschwerde daher als teilweise berechtigt erwiesen und sei ihr daher gemäß § 24 Abs. 5 DSG stattzugeben gewesen. Zur Übermittlung der Daten des Mitbeteiligten an einen Dritten sei festzuhalten, dass das an den Mitbeteiligten adressierte Besichtigungsergebnis vom 08.02.2023 an die E-Mail-Adresse römisch 40 und somit an den Betrieb „ römisch 40 übermittelt worden sei. Zwar habe die Beschwerdeführerin eingewandt, dass ihr die E-Mail-Adresse von der Mitarbeiterin des Mitbeteiligten im Zuge der Besichtigung bzw. Kontrolle der Arbeitsstätte des Mitbeteiligten bekanntgegeben worden sei und diese mit einer im Jahr 2022 abgegebenen Meldung gemäß Paragraph 3, des Mutterschutzgesetzes für die Arbeitsstätte des Mitbeteiligten übereingestimmt habe, weshalb davon ausgegangen habe werden können, dass es sich dabei um die offizielle Kontaktadresse der Ordination des Mitbeteiligten gehandelt habe, allerdings komme es in einem Beschwerdeverfahren nicht darauf an, ob ein individuelles Verschulden vorliege, sondern darauf, ob eine objektive Rechtsverletzung stattgefunden habe. Da Daten des Mitbeteiligten von der Beschwerdeführerin durch die Übermittlung des Besichtigungsergebnisses vom 08.02.2023 unrechtmäßig an einen Dritten offengelegt worden seien, habe sich die Beschwerde daher als teilweise berechtigt erwiesen und sei ihr daher gemäß Paragraph 24, Absatz 5, DSG stattzugeben gewesen.
6. Gegen diesen Bescheid erhob die Beschwerdeführerin fristgerecht Parteibeschwerde gemäß Art. 130 Abs. 1 Z 1 B-VG an das Bundesverwaltungsgericht und führte aus, dass der angefochtene Bescheid rechtswidrig sei, weil die belangte Behörde infolge einer unrichtigen rechtlichen Beurteilung erforderliche Feststellungen nicht getroffen habe (sekundärer Feststellungsmangel), und inhaltlich rechtswidrig, weil sie (auch aufgrund der unterbliebenen Feststellungen) den entscheidungsrelevanten Sachverhalt falsch beurteilt habe. Die belangte Behörde habe es insbesondere unterlassen, Feststellungen dazu zu treffen, wie die Beschwerdeführerin zur verfahrensgegenständlichen E-Mail-Adresse gekommen sei und warum sie sie verwendet habe. Nach Ansicht der Beschwerdeführerin spiele dies für die Entscheidung über das Vorliegen einer Datenschutzverletzung jedoch eine Rolle. Die Verarbeitung von personenbezogenen Daten eines Betroffenen sei zulässig, wenn dieser der Verarbeitung zugestimmt habe (§ 1 Abs. 2 DSG). Im vorliegenden Fall sei der Mitbeteiligte von seiner Assistentin über die Anwesenheit und den Grund des Besuchs der Arbeitsinspektorin informiert worden. Da der Mitbeteiligte selbst für ein Gespräch nicht zur Verfügung gestanden habe, habe die Ordinationsassistentin von sich aus angeboten, die notwendigen Auskünfte zu erteilen bzw. die erforderlichen Unterlagen vorzulegen. Aus dem Auftreten der Ordinationsassistentin sei für die Arbeitsinspektorin klargewesen, dass diese die Zustimmung zur Verarbeitung der E-Mail-Adresse erteilen habe dürfen. Der Mitbeteiligte sei während des Gesprächs nebenan im offenen Behandlungsraum gesessen und habe dadurch mitbekommen, dass die Arbeitsinspektorin mit der Ordinationsassistentin gesprochen habe und die Arbeitsinspektorin von ihr Auskünfte über die Arbeitsstätte gewollt habe. Andererseits sei für die Arbeitsinspektorin erkennbar gewesen, dass der Mitbeteiligte das Gespräch mitverfolgt habe, jedoch zu keinem Zeitpunkt des Gesprächs eingeschritten sei, um dieses zu beenden oder selbst die Zustimmung für die Verarbeitung der E-Mail-Adresse zu geben. Die Zustimmung zur Verarbeitung der E-Mail-Adresse durch die Ordinationsassistentin sei dem Mitbeteiligten zuzurechnen. Im Zuge der Erstellung des Besichtigungsergebnisses sei die E-Mail-Adresse, obwohl dies nicht notwendig wäre, sogar noch auf Plausibilität überprüft und festgestellt worden, dass im Jahr 2022 der Mitbeteiligte selbst von dieser E-Mail-Adresse eine Mutterschutzmeldung gemäß § 3 des Mutterschutzgesetzes der Beschwerdeführerin übermittelt habe, d.h. der Mitbeteiligte selbst habe die angegebene E-Mail-Adresse XXXX benutzt. Es werde daher beantragt, das Bundesverwaltungsgericht möge den angefochtenen Bescheid der belangten Behörde dahingehend abändern, dass die Datenschutzbeschwerde des Mitbeteiligten abgewiesen werde, in eventu das Bundesverwaltungsgericht möge den angefochtenen Bescheid der belangten Behörde aufheben und die Angelegenheit zur Ergänzung des Sachverhalts und Erlassung eines neuen Bescheides an die Behörde zurückverweisen.6. Gegen diesen Bescheid erhob die Beschwerdeführerin fristgerecht Parteibeschwerde gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG an das Bundesverwaltungsgericht und führte aus, dass der angefochtene Bescheid rechtswidrig sei, weil die belangte Behörde infolge einer unrichtigen rechtlichen Beurteilung erforderliche Feststellungen nicht getroffen habe (sekundärer Feststellungsmangel), und inhaltlich rechtswidrig, weil sie (auch aufgrund der unterbliebenen Feststellungen) den entscheidungsrelevanten Sachverhalt falsch beurteilt habe. Die belangte Behörde habe es insbesondere unterlassen, Feststellungen dazu zu treffen, wie die Beschwerdeführerin zur verfahrensgegenständlichen E-Mail-Adresse gekommen sei und warum sie sie verwendet habe. Nach Ansicht der Beschwerdeführerin spiele dies für die Entscheidung über das Vorliegen einer Datenschutzverletzung jedoch eine Rolle. Die Verarbeitung von personenbezogenen Daten eines Betroffenen sei zulässig, wenn dieser der Verarbeitung zugestimmt habe (Paragraph eins, Absatz 2, DSG). Im vorliegenden Fall sei der Mitbeteiligte von seiner Assistentin über die Anwesenheit und den Grund des Besuchs der Arbeitsinspektorin informiert worden. Da der Mitbeteiligte selbst für ein Gespräch nicht zur Verfügung gestanden habe, habe die Ordinationsassistentin von sich aus angeboten, die notwendigen Auskünfte zu erteilen bzw. die erforderlichen Unterlagen vorzulegen. Aus dem Auftreten der Ordinationsassistentin sei für die Arbeitsinspektorin klargewesen, dass diese die Zustimmung zur Verarbeitung der E-Mail-Adresse erteilen habe dürfen. Der Mitbeteiligte sei während des Gesprächs nebenan im offenen Behandlungsraum gesessen und habe dadurch mitbekommen, dass die Arbeitsinspektorin mit der Ordinationsassistentin gesprochen habe und die Arbeitsinspektorin von ihr Auskünfte über die Arbeitsstätte gewollt habe. Andererseits sei für die Arbeitsinspektorin erkennbar gewesen, dass der Mitbeteiligte das Gespräch mitverfolgt habe, jedoch zu keinem Zeitpunkt des Gesprächs eingeschritten sei, um dieses zu beenden oder selbst die Zustimmung für die Verarbeitung der E-Mail-Adresse zu geben. Die Zustimmung zur Verarbeitung der E-Mail-Adresse durch die Ordinationsassistentin sei dem Mitbeteiligten zuzurechnen. Im Zuge der Erstellung des Besichtigungsergebnisses sei die E-Mail-Adresse, obwohl dies nicht notwendig wäre, sogar noch auf Plausibilität überprüft und festgestellt worden, dass im Jahr 2022 der Mitbeteiligte selbst von dieser E-Mail-Adresse eine Mutterschutzmeldung gemäß Paragraph 3, des Mutterschutzgesetzes der Beschwerdeführerin übermittelt habe, d.h. der Mitbeteiligte selbst habe die angegebene E-Mail-Adresse römisch 40 benutzt. Es werde daher beantragt, das Bundesverwaltungsgericht möge den angefochtenen Bescheid der belangten Behörde dahingehend abändern, dass die Datenschutzbeschwerde des Mitbeteiligten abgewiesen werde, in eventu das Bundesverwaltungsgericht möge den angefochtenen Bescheid der belangten Behörde aufheben und die Angelegenheit zur Ergänzung des Sachverhalts und Erlassung eines neuen Bescheides an die Behörde zurückverweisen.
7. Die belangte Behörde machte von der Möglichkeit der Beschwerdevorentscheidung nicht Gebrauch und legte die Beschwerde samt den bezughabenden Akten des Verwaltungsverfahrens dem Bundesverwaltungsgericht zur Entscheidung vor, wobei sie den angefochtenen Bescheid verteidigte.
8. Der Mitbeteiligte erstattete am 10.10.2023 eine Stellungnahme, in welcher er sein Vorbringen aus dem behördlichen Verfahren wiederholte und zusammengefasst ausführte, dass die Arbeitsinspektorin sich während ihrer Befragung sehr aufdringlich und ungebührlich verhalten habe, sodass der Mitbeteiligte seine Behandlung abbrechen und die Arbeitsinspektorin zur Tür begleiten habe müssen. Dass der Arbeitsinspektorin die E-Mail-Adresse XXXX als Kontaktadresse zur Übermittlung des Besichtigungsberichtes bekanntgegeben worden sei, stelle eine bloße Schutzbehauptung dar und entspreche nicht den wahren Gegebenheiten. Die Assistentin habe der Arbeitsinspektorin keine Mailadresse bekanntgegeben. Der Vollständigkeit halber sei anzuführen, dass hinter der Aufnahme ein kleiner Zettel mit der offiziellen Mailadresse ( XXXX ) klebe, damit auch jede Mitarbeiterin die richtige E-Mail-Adresse bereit habe, sofern diese anzuführen sei. Es handle sich bei der E-Mail-Adresse XXXX um keine offizielle E-Mail-Adresse der XXXX praxis des Mitbeteiligten. Die offizielle und richtige E-Mail-Adresse sei bei der XXXX kammer hinterlegt und hätte zudem ein Anruf in der Praxis genügt, um diese falsche Information richtig zu stellen. Zu guter Letzt hätte das Arbeitsinspektorat diese Unterlagen auch auf dem Postweg übersenden können. Eine Zustimmung für die Verarbeitung der E-Mail-Adresse habe nicht vorgelegen, die Arbeitsinspektorin habe sich eine (falsche) Mailadresse selbstständig herausgesucht und beschlossen, diese ohne weiteres Einverständnis zu nutzen. Es werde daher der Antrag gestellt, das Bundesverwaltungsgericht möge der Beschwerde nicht Folge geben und eine mündliche Verhandlung anberaumen sowie auf Einvernahme der Zeugin XXXX zum Beweis dafür, dass diese die E-Mail-Adresse XXXX nicht an die Arbeitsinspektorin übermittelt habe. 8. Der Mitbeteiligte erstattete am 10.10.2023 eine Stellungnahme, in welcher er sein Vorbringen aus dem behördlichen Verfahren wiederholte und zusammengefasst ausführte, dass die Arbeitsinspektorin sich während ihrer Befragung sehr aufdringlich und ungebührlich verhalten habe, sodass der Mitbeteiligte seine Behandlung abbrechen und die Arbeitsinspektorin zur Tür begleiten habe müssen. Dass der Arbeitsinspektorin die E-Mail-Adresse römisch 40 als Kontaktadresse zur Übermittlung des Besichtigungsberichtes bekanntgegeben worden sei, stelle eine bloße Schutzbehauptung dar und entspreche nicht den wahren Gegebenheiten. Die Assistentin habe der Arbeitsinspektorin keine Mailadresse bekanntgegeben. Der Vollständigkeit halber sei anzuführen, dass hinter der Aufnahme ein kleiner Zettel mit der offiziellen Mailadresse ( römisch 40 ) klebe, damit auch jede Mitarbeiterin die richtige E-Mail-Adresse bereit habe, sofern diese anzuführen sei. Es handle sich bei der E-Mail-Adresse römisch 40 um keine offizielle E-Mail-Adresse der römisch 40 praxis des Mitbeteiligten. Die offizielle und richtige E-Mail-Adresse sei bei der römisch 40 kammer hinterlegt und hätte zudem ein Anruf in der Praxis genügt, um diese falsche Information richtig zu stellen. Zu guter Letzt hätte das Arbeitsinspektorat diese Unterlagen auch auf dem Postweg übersenden können. Eine Zustimmung für die Verarbeitung der E-Mail-Adresse habe nicht vorgelegen, die Arbeitsinspektorin habe sich eine (falsche) Mailadresse selbstständig herausgesucht und beschlossen, diese ohne weiteres Einverständnis zu nutzen. Es werde daher der Antrag gestellt, das Bundesverwaltungsgericht möge der Beschwerde nicht Folge geben und eine mündliche Verhandlung anberaumen sowie auf Einvernahme der Zeugin römisch 40 zum Beweis dafür, dass diese die E-Mail-Adresse römisch 40 nicht an die Arbeitsinspektorin übermittelt habe.
9. Mit Schreiben vom 09.11.2023 teilte das Bundesverwaltungsgericht den Parteien mit, dass mit Verfügung des Geschäftsverteilungsausschusses vom 20.10.2023 mit Wirksamkeit vom 06.11.2023 das gegenständliche Beschwerdeverfahren der bisher zuständigen Gerichtsabteilung W227 abgenommen und der Gerichtsabteilung W108 neu zugewiesen wurde, übermittelte die Stellungnahme des Mitbeteiligten vom 10.10.2023 der Beschwerdeführerin zur Kenntnis- und Stellungnahme und stellte es den Verfahrensparteien frei, sich zum Verfahrensgegenstand ergänzend zu äußern.
10. Die Beschwerdeführerin erstattete am 30.11.2023 eine Stellungnahme, in welcher vorgebracht wurde, dass sich die Arbeitsinspektorin zu keinem Zeitpunkt der Besichtigung aufdringlich oder ungebührlich verhalten und somit weder die Ordinationsassistentin noch die anwesende Patientin gestört bzw. bedrängt habe. Die Behauptung, dass die Assistentin der Arbeitsinspektorin keine Mailadresse bekanntgegeben habe, sei falsch. Da die Arbeitsinspektorin festgestellt habe, dass es nicht möglich sein werde, mit dem Mitbeteiligten ein Gespräch zu führen, habe sie die Ordinationsassistentin gefragt, ob sie das Besichtigungsergebnis per E-Mail an den Mitbeteiligten übermitteln könne. Die Ordinationsassistentin habe ihr daraufhin eine E-Mail-Adresse ausgefolgt, nämlich XXXX . Falsch sei sohin auch die Behauptung, dass sich die Arbeitsinspektorin selbständig eine falsche E-Mail-Adresse herausgesucht habe. Für den Mitbeteiligten sei das Gespräch zwischen der Ordinationsassistentin und der Arbeitsinspektorin ersichtlich gewesen. Er habe jedoch zu keinem Zeitpunkt vorgebracht, dass seine Assistentin keine Informationen an die Arbeitsinspektorin geben dürfe. Eine Nachfrage beim Mitbeteiligten sei auf Grund seines Verhaltens nicht möglich gewesen, da die Arbeitsinspektorin zur Tür hinausbefördert worden sei. Fakt sei, dass der Mitbeteiligte besagte E-Mail-Adresse selbst als Kontaktdatum auf der Mutterschutzmeldung vom 01.03.2022, die dem Arbeitsinspektorat gemäß § 3 Abs. 6 MSchG übermittelt worden sei, angegeben habe. Die Arbeitsinspektorin habe daher davon ausgehen können, dass es sich um die offizielle Kontaktadresse des Mitbeteiligten gehandelt habe. Dass das Besichtigungsergebnis nicht auf dem Postweg zugestellt worden sei, ergebe sich aus dem Umstand, dass die Ordinationsassistentin auf Nachfrage die E-Mail-Adresse ausgehändigt habe. Im Verfahrensablauf der Arbeitsinspektion würden Besichtigungsergebnisse grundsätzlich per E-Mail verschickt, wenn eine E-Mail-Adresse bekannt gegeben werde. Im vorliegenden Fall wäre das Besichtigungsergebnis auf dem Postweg zugestellt worden, wenn eine E-Mail-Adresse nicht bekannt gegeben worden wäre. 10. Die Beschwerdeführerin erstattete am 30.11.2023 eine Stellungnahme, in welcher vorgebracht wurde, dass sich die Arbeitsinspektorin zu keinem Zeitpunkt der Besichtigung aufdringlich oder ungebührlich verhalten und somit weder die Ordinationsassistentin noch die anwesende Patientin gestört bzw. bedrängt habe. Die Behauptung, dass die Assistentin der Arbeitsinspektorin keine Mailadresse bekanntgegeben habe, sei falsch. Da die Arbeitsinspektorin festgestellt habe, dass es nicht möglich sein werde, mit dem Mitbeteiligten ein Gespräch zu führen, habe sie die Ordinationsassistentin gefragt, ob sie das Besichtigungsergebnis per E-Mail an den Mitbeteiligten übermitteln könne. Die Ordinationsassistentin habe ihr daraufhin eine E-Mail-Adresse ausgefolgt, nämlich römisch 40 . Falsch sei sohin auch die Behauptung, dass sich die Arbeitsinspektorin selbständig eine falsche E-Mail-Adresse herausgesucht habe. Für den Mitbeteiligten sei das Gespräch zwischen der Ordinationsassistentin und der Arbeitsinspektorin ersichtlich gewesen. Er habe jedoch zu keinem Zeitpunkt vorgebracht, dass seine Assistentin keine Informationen an die Arbeitsinspektorin geben dürfe. Eine Nachfrage beim Mitbeteiligten sei auf Grund seines Verhaltens nicht möglich gewesen, da die Arbeitsinspektorin zur Tür hinausbefördert worden sei. Fakt sei, dass der Mitbeteiligte besagte E-Mail-Adresse selbst als Kontaktdatum auf der Mutterschutzmeldung vom 01.03.2022, die dem Arbeitsinspektorat gemäß Paragraph 3, Absatz 6, MSchG übermittelt worden sei, angegeben habe. Die Arbeitsinspektorin habe daher davon ausgehen können, dass es sich um die offizielle Kontaktadresse des Mitbeteiligten gehandelt habe. Dass das Besichtigungsergebnis nicht auf dem Postweg zugestellt worden sei, ergebe sich aus dem Umstand, dass die Ordinationsassistentin auf Nachfrage die E-Mail-Adresse ausgehändigt habe. Im Verfahrensablauf der Arbeitsinspektion würden Besichtigungsergebnisse grundsätzlich per E-Mail verschickt, wenn eine E-Mail-Adresse bekannt gegeben werde. Im vorliegenden Fall wäre das Besichtigungsergebnis auf dem Postweg zugestellt worden, wenn eine E-Mail-Adresse nicht bekannt gegeben worden wäre.
II. Das Bundesverwaltungsgericht hat erwogen: römisch II. Das Bundesverwaltungsgericht hat erwogen:
1. Feststellungen:
1. Es wird von den Ausführungen oben unter Punkt I. zum Verfahrensgang (Verwaltungsgeschehen) und Sachverhalt ausgegangen.1. Es wird von den Ausführungen oben unter Punkt römisch eins. zum Verfahrensgang (Verwaltungsgeschehen) und Sachverhalt ausgegangen.
2. Beweiswürdigung:
Die Feststellungen ergeben sich aus dem Verwaltungsakt sowie dem gegenständlichen Gerichtsakt.
3. Rechtliche Beurteilung:
Zu A)
3.1. Gemäß Art. 130 Abs. 1 Z 1 B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.3.1. Gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG erkennen die Verwaltungsgerichte über Beschwerden gegen den Bescheid einer Verwaltungsbehörde wegen Rechtswidrigkeit.
Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß § 27 Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist. Gemäß Paragraph 27, Datenschutzgesetz (DSG) idgF entscheidet das Bundesverwaltungsgericht in Verfahren über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß Paragraph 24, Absatz 7 und der Entscheidungspflicht der Datenschutzbehörde durch Senat. Der Senat besteht aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer.
Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 58 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft. Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. römisch eins 2013/33 in der Fassung BGBl. römisch eins 2013/122, geregelt (Paragraph eins, leg.cit.). Gemäß Paragraph 58, Absatz 2, VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.
Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.Gemäß Paragraph 17, VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, B-VG die Bestimmungen des AVG mit Ausnahme der Paragraphen eins bis 5 sowie des römisch IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, Bundesgesetzblatt Nr. 194 aus 1961,, des Agrarverfahrensgesetzes – AgrVG, Bundesgesetzblatt Nr. 173 aus 1950,, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, Bundesgesetzblatt Nr. 29 aus 1984,, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.
Gemäß § 28 Abs. 2 VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.Gemäß Paragraph 28, Absatz 2, VwGVG hat das Verwaltungsgericht über Beschwerden gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG dann in der Sache selbst zu entscheiden, wenn der maßgebliche Sachverhalt feststeht oder die Feststellung des maßgeblichen Sachverhalts durch das Verwaltungsgericht selbst im Interesse der Raschheit gelegen oder mit einer erheblichen Kostenersparnis verbunden ist.
Liegen die Voraussetzungen des Abs. 2 nicht vor, hat das Verwaltungsgericht gemäß § 28 Abs. 3 erster Satz VwGVG im Verfahren über Beschwerden gemäß Art. 130 Abs. 1 Z 1 B-VG in der Sache selbst zu entscheiden, wenn die Behörde dem nicht bei der Vorlage der Beschwerde unter Bedachtnahme auf die wesentliche Vereinfachung oder Beschleunigung des Verfahrens widerspricht. Hat die Behörde notwendige Ermittlungen des Sachverhalts unterlassen, so kann das Verwaltungsgericht gemäß § 28 Abs. 3 zweiter Satz VwGVG den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Behörde zurückverweisen. Die Behörde ist hierbei an die rechtliche Beurteilung gebunden, von welcher das Verwaltungsgericht bei seinem Beschluss ausgegangen ist.Liegen die Voraussetzungen des Absatz 2, nicht vor, hat das Verwaltungsgericht gemäß Paragraph 28, Absatz 3, erster Satz VwGVG im Verfahren über Beschwerden gemäß Artikel 130, Absatz eins, Ziffer eins, B-VG in der Sache selbst zu entscheiden, wenn die Behörde dem nicht bei der Vorlage der Beschwerde unter Bedachtnahme auf die wesentliche Vereinfachung oder Beschleunigung des Verfahrens widerspricht. Hat die Behörde notwendige Ermittlungen des Sachverhalts unterlassen, so kann das Verwaltungsgericht gemäß Paragraph 28, Absatz 3, zweiter Satz VwGVG den angefochtenen Bescheid mit Beschluss aufheben und die Angelegenheit zur Erlassung eines neuen Bescheides an die Behörde zurückverweisen. Die Behörde ist hierbei an die rechtliche Beurteilung gebunden, von welcher das Verwaltungsgericht bei seinem Beschluss ausgegangen ist.
3.2. Zu den Prozessvoraussetzungen:
Die Beschwerde wurde gemäß § 7 Abs. 4 VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor. Die Beschwerde wurde gemäß Paragraph 7, Absatz 4, VwGVG fristwahrend erhoben und es liegen auch die sonstigen Prozessvoraussetzungen vor.
3.3.1. Rechtsgrundlagen:
3.3.1.1. Art. 4 DSGVO lautet auszugsweise:
„Begriffsbestimmungen3.3.1.1. Artikel 4, DSGVO lautet auszugsweise:
„Begriffsbestimmungen
Im Sinne dieser Verordnung bezeichnet der Ausdruck:
1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;
2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
3.3.1.2. Art. 5 DSGVO lautet:3.3.1.2. Artikel 5, DSGVO lautet:
„Grundsätze für die Verarbeitung personenbezogener Daten
(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“
3.3.1.3. Art. 6 DSGVO lautet auszugsweise:3.3.1.3. Artikel 6, DSGVO lautet auszugsweise:
„Rechtmäßigkeit der Verarbeitung
(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für
