TE Bvwg Erkenntnis 2023/10/23 W292 2268628-1

Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter, Mag.a Martina CHLESTIL und Mag. René BOGENDORFER als Beisitzer, über die Beschwerde von der XXXX gegen den Bescheid der Datenschutzbehörde vom 26.01.2023, Zl. D124.1011/22 / 2022-0.740.438 (mitbeteiligte Partei: XXXX ), wegen Verletzung im Recht auf Auskunft in nicht öffentlicher Sitzung zu Recht erkannt:Das Bundesverwaltungsgericht hat durch den Richter Mag. Herwig ZACZEK als Vorsitzenden und die fachkundigen Laienrichter, Mag.a Martina CHLESTIL und Mag. René BOGENDORFER als Beisitzer, über die Beschwerde von der römisch 40 gegen den Bescheid der Datenschutzbehörde vom 26.01.2023, Zl. D124.1011/22 / 2022-0.740.438 (mitbeteiligte Partei: römisch 40 ), wegen Verletzung im Recht auf Auskunft in nicht öffentlicher Sitzung zu Recht erkannt:

Die Beschwerde wird als unbegründet abgewiesen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig.

Text

Entscheidungsgründe:, Entscheidungsgründe:

I. Verfahrensgang:römisch eins. Verfahrensgang:

I.1. Der Mitbeteiligte (Antragsteller vor der Datenschutzbehörde), XXXX , brachte in dessen Datenschutzbeschwerde vom 31.03.2022 zusammengefasst vor, die Beschwerdeführerin habe ihm eine unvollständige Auskunft erteilt, diese entspreche nicht dem Verständlichkeitsgebot des Art. 12 DSGVO und sei nicht mit Art. 15 DSGVO vereinbar. Im Ergebnis sei völlig unklar geblieben, welche Teile der erteilten Auskunft, die Beschwerdeführerin, welche das Rektorat der XXXX , welche den Universitätsrat der XXXX und welche den Senat der XXXX beträfen. römisch eins.1. Der Mitbeteiligte (Antragsteller vor der Datenschutzbehörde), römisch 40 , brachte in dessen Datenschutzbeschwerde vom 31.03.2022 zusammengefasst vor, die Beschwerdeführerin habe ihm eine unvollständige Auskunft erteilt, diese entspreche nicht dem Verständlichkeitsgebot des Artikel 12, DSGVO und sei nicht mit Artikel 15, DSGVO vereinbar. Im Ergebnis sei völlig unklar geblieben, welche Teile der erteilten Auskunft, die Beschwerdeführerin, welche das Rektorat der römisch 40 , welche den Universitätsrat der römisch 40 und welche den Senat der römisch 40 beträfen.

I.2. Mit dem beschwerdegegenständlichen Bescheid der Datenschutzbehörde (belangte Behörde) vom 26.01.2023, Zl. D124.1011/22 / 2022-0.740.438, gab die belangte Behörde der Datenschutzbeschwerde des Mitbeteiligten statt und stellte fest, dass die (nunmehrige) Beschwerdeführerin den Mitbeteiligten dadurch im Recht auf Auskunft verletzt habe, indem diese keine transparente und verständliche Auskunft im Sinne von Art. 12 Abs. 1 DSGVO erteilt habe. Der Beschwerdeführerin wurde aufgetragen, innerhalb einer Frist von zwei Wochen dem Mitbeteiligten eine transparente und verständliche Auskunft zu erteilen, indem sie die im Rahmen des Auskunftsbegehrens vom 12.08.2021 geforderten Informationen nach Art. 15 Abs. 1 lit. a, lit. c, lit. d und lit. g DSGVO über die bei der Beschwerdeführerin verarbeiteten personenbezogenen Daten dem Mitbeteiligten übermittelt. römisch eins.2. Mit dem beschwerdegegenständlichen Bescheid der Datenschutzbehörde (belangte Behörde) vom 26.01.2023, Zl. D124.1011/22 / 2022-0.740.438, gab die belangte Behörde der Datenschutzbeschwerde des Mitbeteiligten statt und stellte fest, dass die (nunmehrige) Beschwerdeführerin den Mitbeteiligten dadurch im Recht auf Auskunft verletzt habe, indem diese keine transparente und verständliche Auskunft im Sinne von Artikel 12, Absatz eins, DSGVO erteilt habe. Der Beschwerdeführerin wurde aufgetragen, innerhalb einer Frist von zwei Wochen dem Mitbeteiligten eine transparente und verständliche Auskunft zu erteilen, indem sie die im Rahmen des Auskunftsbegehrens vom 12.08.2021 geforderten Informationen nach Artikel 15, Absatz eins, Litera a,, Litera c,, Litera d und Litera g, DSGVO über die bei der Beschwerdeführerin verarbeiteten personenbezogenen Daten dem Mitbeteiligten übermittelt.

Begründend stellt die belangte Behörde hierzu fest, dass unter Zugrundelegung des funktionalen Begriffskonzepts des datenschutzrechtlich Verantwortlichen den Organen der Beschwerdeführerin die maßgebliche Entscheidungskompetenz obliege, diese daher als jeweils eigenständige datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Z 7 DSGVO anzusehen seien. Hieraus ergäbe sich aber auch für jeden Verantwortlichen neben der Beschwerdeführerin selbst die Pflicht, einem datenschutzrechtlichen Auskunftsbegehren im Sinne der einschlägigen unionsrechtlichen Vorgaben zu entsprechen. Begründend stellt die belangte Behörde hierzu fest, dass unter Zugrundelegung des funktionalen Begriffskonzepts des datenschutzrechtlich Verantwortlichen den Organen der Beschwerdeführerin die maßgebliche Entscheidungskompetenz obliege, diese daher als jeweils eigenständige datenschutzrechtlich Verantwortliche im Sinne von Artikel 4, Ziffer 7, DSGVO anzusehen seien. Hieraus ergäbe sich aber auch für jeden Verantwortlichen neben der Beschwerdeführerin selbst die Pflicht, einem datenschutzrechtlichen Auskunftsbegehren im Sinne der einschlägigen unionsrechtlichen Vorgaben zu entsprechen.

Aus der gemeinsamen Auskunft des Rektors der XXXX , des Rektorates der XXXX , des Universitätsrates der XXXX sowie der Beschwerdeführerin gehe demgegenüber nicht hervor, welches Organ welche personenbezogenen Daten verarbeite bzw. welche Daten die Beschwerdeführerin als juristische Person des öffentlichen Rechts verarbeitet habe. Demnach sei keine transparente oder verständliche, dem Art. 15 DSGVO entsprechende, Auskunft im Hinblick auf die von der mitbeteiligten Partei geforderten Informationen erteilt worden. Aus der gemeinsamen Auskunft des Rektors der römisch 40 , des Rektorates der römisch 40 , des Universitätsrates der römisch 40 sowie der Beschwerdeführerin gehe demgegenüber nicht hervor, welches Organ welche personenbezogenen Daten verarbeite bzw. welche Daten die Beschwerdeführerin als juristische Person des öffentlichen Rechts verarbeitet habe. Demnach sei keine transparente oder verständliche, dem Artikel 15, DSGVO entsprechende, Auskunft im Hinblick auf die von der mitbeteiligten Partei geforderten Informationen erteilt worden.

I.3. Gegen den verfahrensgegenständlichen Bescheid der Datenschutzbehörde richtet sich nunmehr die am 23.02.2023 erhobene Bescheidbeschwerde. römisch eins.3. Gegen den verfahrensgegenständlichen Bescheid der Datenschutzbehörde richtet sich nunmehr die am 23.02.2023 erhobene Bescheidbeschwerde.

I.4. Die belangte Behörde hat die gegenständliche Beschwerde samt dem Bezug habenden Verwaltungsakt dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) mit Aktenvorlage am 13.03.2023 vorgelegt. römisch eins.4. Die belangte Behörde hat die gegenständliche Beschwerde samt dem Bezug habenden Verwaltungsakt dem Bundesverwaltungsgericht (in der Folge auch „BVwG“) mit Aktenvorlage am 13.03.2023 vorgelegt.

II. Das Bundesverwaltungsgericht hat erwogen:römisch zwei. Das Bundesverwaltungsgericht hat erwogen:

II.1. Feststellungen:römisch zwei.1. Feststellungen:

II.1.1. Zu den in der Sache geführten Verwaltungsverfahren römisch zwei.1.1. Zu den in der Sache geführten Verwaltungsverfahren

Der Mitbeteiligte erhob bereits am 11.10.2021 Beschwerde an die Datenschutzbehörde und führte darin aus, durch die Nichterteilung einer Auskunft durch die Beschwerdeführerin in seinem Recht auf Auskunft verletzt worden zu sein. In seiner Eingabe vom 31.03.2022 änderte der Mitbeteiligte sein Vorbringen dahingehend, dass er nunmehr eine mangelhafte Auskunft behauptete. Insofern wurde das Vorverfahren gemäß § 24 Abs. 6 DSG formlos eingestellt und die Eingabe des Mitbeteiligten vom 31.03.2022 wegen behaupteter Verletzung im Recht auf Auskunft (wegen einer mangelhaft gebliebenen Auskunft) als neuer verfahrenseinleitender Antrag zu einem neuen Verwaltungsverfahren protokolliert. Der Mitbeteiligte erhob bereits am 11.10.2021 Beschwerde an die Datenschutzbehörde und führte darin aus, durch die Nichterteilung einer Auskunft durch die Beschwerdeführerin in seinem Recht auf Auskunft verletzt worden zu sein. In seiner Eingabe vom 31.03.2022 änderte der Mitbeteiligte sein Vorbringen dahingehend, dass er nunmehr eine mangelhafte Auskunft behauptete. Insofern wurde das Vorverfahren gemäß Paragraph 24, Absatz 6, DSG formlos eingestellt und die Eingabe des Mitbeteiligten vom 31.03.2022 wegen behaupteter Verletzung im Recht auf Auskunft (wegen einer mangelhaft gebliebenen Auskunft) als neuer verfahrenseinleitender Antrag zu einem neuen Verwaltungsverfahren protokolliert.

II.1.2. Zum Antrag auf Auskunft an die XXXX :römisch zwei.1.2. Zum Antrag auf Auskunft an die römisch 40 :

Die mitbeteiligte Partei stellte am 12.08.2021 einen Antrag auf Auskunft an die Beschwerdeführerin.

Der Inhalt des verfahrenseinleitenden Antrages stellt sich auszugsweise wie folgt dar [Formatierung nicht wie im Original]:

„ XXXX / Universität XXXX „ römisch 40 / Universität römisch 40

(eingeschränktes) Auskunftsbegehren gemäß Art 15 DSGVO (eingeschränktes) Auskunftsbegehren gemäß Artikel 15, DSGVO

Sehr geehrter Herr Rektor,

sehr geehrte Damen und Herren Vizerektor/innen!

Einleitend gebe ich bekannt, dass ich Herrn XXXX , geb. XXXX , XXXX , rechtsfreundlich vertrete. Einleitend gebe ich bekannt, dass ich Herrn römisch 40 , geb. römisch 40 , römisch 40 , rechtsfreundlich vertrete.

Mein Mandant informiert mich über ein an den Rektor der Universität XXXX adressiertes Schreiben vom 21.9.2019 mit dem Betreff „Anliegen aus der Kurie des Allgemeinen Universitätspersonals hinsichtlich der künftigen Personalpolitik“, welches mit einem bezughabenden Konvolut (im Folgenden das „DOSSIER“) von Herrn XXXX persönlich übergeben wurde. Mein Mandant informiert mich über ein an den Rektor der Universität römisch 40 adressiertes Schreiben vom 21.9.2019 mit dem Betreff „Anliegen aus der Kurie des Allgemeinen Universitätspersonals hinsichtlich der künftigen Personalpolitik“, welches mit einem bezughabenden Konvolut (im Folgenden das „DOSSIER“) von Herrn römisch 40 persönlich übergeben wurde.

Den Angaben des Absenders zufolge soll das DOSSIER eine „Dokumentation von Schriftverkehr“ sein, die „der Substantiierung der Anliegen“ diene.

Mein Mandant ersucht hiermit die Universität XXXX als Verantwortliche iSd Art 4 Z 7 DSGVO gem Art 15 Abs 1 DSGVO um (vorerst eingeschränkte) Auskunft, welche folgende Punkte umfasst: Mein Mandant ersucht hiermit die Universität römisch 40 als Verantwortliche iSd Artikel 4, Ziffer 7, DSGVO gem Artikel 15, Absatz eins, DSGVO um (vorerst eingeschränkte) Auskunft, welche folgende Punkte umfasst:

1. Zu welchen Zwecken wurden oder werden personenbezogene Daten meines Mandaten im Zusammenhang mit dem DOSSIER von der Universität XXXX verarbeitet? 1. Zu welchen Zwecken wurden oder werden personenbezogene Daten meines Mandaten im Zusammenhang mit dem DOSSIER von der Universität römisch 40 verarbeitet?

2. Welchen Empfängern bzw. wem konkret wurden personenbezogene Daten meines Mandanten im Zusammenhang mit dem DOSSIER bis dato offengelegt; wem sollen diesbezügliche Daten meines Mandanten noch offengelegt werden?

3. Falls möglich wird um Bekanntgabe der geplanten Dauer, für welche personenbezogene Daten meines Mandanten im Zusammenhang mit dem DOSSIER gespeichert werden, ersucht; falls dies nicht möglich ist, ersucht mein Mandant um Bekanntgabe der von der Universität XXXX definierten Kriterien für die Festlegung dieser Dauer. 3. Falls möglich wird um Bekanntgabe der geplanten Dauer, für welche personenbezogene Daten meines Mandanten im Zusammenhang mit dem DOSSIER gespeichert werden, ersucht; falls dies nicht möglich ist, ersucht mein Mandant um Bekanntgabe der von der Universität römisch 40 definierten Kriterien für die Festlegung dieser Dauer.

4. Weiters ersucht mein Mandant, dessen personenbezogenen Daten im Zusammenhang mit dem DOSSIER nicht bei ihm erhoben wurden, um alle verfügbaren Informationen über die Herkunft seiner diesbezüglichen personenbezogenen Daten.

Da aus rechtlicher Sicht die Verarbeitung personenbezogener Daten meines Mandanten im Zusammenhang mit dem DOSSIER jedenfalls z.T. mehrere Akteure bzw. Verantwortliche betrifft, halte ich der Ordnung halber fest, dass diesfalls jede Akteurin und jeder Akteur den Datenschutzvorschriften, mithin auch der Auskunftspflicht, unterlegt (vgl im Einzelnen EuGH 10.7.2018, C-25/17, Zeugen Jehovas). Da aus rechtlicher Sicht die Verarbeitung personenbezogener Daten meines Mandanten im Zusammenhang mit dem DOSSIER jedenfalls z.T. mehrere Akteure bzw. Verantwortliche betrifft, halte ich der Ordnung halber fest, dass diesfalls jede Akteurin und jeder Akteur den Datenschutzvorschriften, mithin auch der Auskunftspflicht, unterlegt vergleiche im Einzelnen EuGH 10.7.2018, C-25/17, Zeugen Jehovas).

Dieses Ersuchen wird elektronisch gestellt; namens und im Auftrag meines Mandanten ersuche ich die Universität XXXX darum, meinen Mandanten zu meinen Handen auf elektronischem Weg zu unterrichten. Dieses Ersuchen wird elektronisch gestellt; namens und im Auftrag meines Mandanten ersuche ich die Universität römisch 40 darum, meinen Mandanten zu meinen Handen auf elektronischem Weg zu unterrichten.

Vielen Dank im Voraus!“

II.1.3. Zum weiteren Antrag auf Auskunft:römisch zwei.1.3. Zum weiteren Antrag auf Auskunft:

Ebenfalls am 12.08.2021 stellte der Mitbeteiligte einen gleichlautenden Antrag auf Auskunft an den Rektor der XXXX , das Rektorat der XXXX und den Universitätsrat der XXXX . Ebenfalls am 12.08.2021 stellte der Mitbeteiligte einen gleichlautenden Antrag auf Auskunft an den Rektor der römisch 40 , das Rektorat der römisch 40 und den Universitätsrat der römisch 40 .

II.1.4. Zum Antwortschreiben der Beschwerdeführerin, des Rektors der XXXX , dem Rektorat der XXXX und dem Universitätsrat der XXXX vom 08.11.2021: römisch zwei.1.4. Zum Antwortschreiben der Beschwerdeführerin, des Rektors der römisch 40 , dem Rektorat der römisch 40 und dem Universitätsrat der römisch 40 vom 08.11.2021:

Mit Schreiben vom 08.11.2021 erteilte die Beschwerdeführerin gemeinsam mit dem Rektor der XXXX , dem Rektorat der XXXX und dem Universitätsrat der XXXX , folgende Auskunft: Mit Schreiben vom 08.11.2021 erteilte die Beschwerdeführerin gemeinsam mit dem Rektor der römisch 40 , dem Rektorat der römisch 40 und dem Universitätsrat der römisch 40 , folgende Auskunft:

Der Inhalt des Schreibens stellt sich auszugsweise dar wie folgt [Formatierung nicht wie im Original]:

„Zu den Fragen 1. und 2.

1. Zu welchen Zwecken wurden oder werden personenbezogene Daten Ihres Mandanten im Zusammenhang mit dem DOSSIER verarbeitet? und:

2. Welchen Empfängern konkret wurden personenbezogene Daten meines Mandanten im Zusammenhang mit dem DOSSIER bis dato offengelegt; wem sollen diesbezügliche Daten meines Mandanten noch offengelegt werden?

Wie oben ausgeführt hat XXXX sein am 21.09.2019 an mich gerichtetes E-Mail mit dem Betreff „Anliegen aus der Kurie des Allgemeinen Universitätspersonals hinsichtlich der künftigen Personalpolitik“, versehen. Das 154 Seiten umfassende Beilagenkonvolut - von Ihrem Mandanten als Dossier bezeichnet - sollte, wie im Schreiben selbst deklariert, die darin angeführten Kritikpunkte substantiieren und wurde mir ein paar Tage später gesondert persönlich übergeben. Auf den gesetzlichen Zweck dieser Datenverarbeitung wurde in der Ihrem Mandanten bekannten aufsichtsbehördlichen Erledigung und den Bescheiden der Datenschutzbehörden bereits eingegangen; es handelt sich dabei einerseits um Befugnisse des Innenrevisors, die insbesondere in den „Richtlinien für die Gebarung der Universität“ wie folgt definiert sind:Wie oben ausgeführt hat römisch 40 sein am 21.09.2019 an mich gerichtetes E-Mail mit dem Betreff „Anliegen aus der Kurie des Allgemeinen Universitätspersonals hinsichtlich der künftigen Personalpolitik“, versehen. Das 154 Seiten umfassende Beilagenkonvolut - von Ihrem Mandanten als Dossier bezeichnet - sollte, wie im Schreiben selbst deklariert, die darin angeführten Kritikpunkte substantiieren und wurde mir ein paar Tage später gesondert persönlich übergeben. Auf den gesetzlichen Zweck dieser Datenverarbeitung wurde in der Ihrem Mandanten bekannten aufsichtsbehördlichen Erledigung und den Bescheiden der Datenschutzbehörden bereits eingegangen; es handelt sich dabei einerseits um Befugnisse des Innenrevisors, die insbesondere in den „Richtlinien für die Gebarung der Universität“ wie folgt definiert sind:

16 Innenrevision

Die Tätigkeit der Innenrevision bezieht sich auf die Kontrolle der Gebarung einschließlich der Kontrolle von Abläufen im Hinblick auf die Einhaltung der Grundsätze der Wirtschaftlichkeit, Zweckmäßigkeit und Sparsamkeit und von Rechtsvorschriften. Der Innenrevision werden die Schwerpunkte ihrer Tätigkeit von der Rektorin oder vom Rektor zugewiesen. Darüber hinaus kann sie auch zu von ihr ausgewählten Themenbereichen tätig werden. Die Rektorin oder der Rektor bzw. die zuständige Vizerektorin oder der zuständige Vizerektor hat die Wahrnehmung der Fachaufsicht mit dem Rektorat abzustimmen.

Berichte über die Prüfungs- und sonstige Tätigkeit der Innenrevision sind schriftlich zusammenzufassen und dem Rektorat im Wege der Rektorin oder des Rektors vorzulegen.

Die im Bereich der Innenrevision tätigen Universitätsangehörigen sind bei der Ausübung

ihrer Tätigkeit weisungsfrei und dürfen bei der Ausübung ihrer Tätigkeit nicht behindert werden. Sie dürfen wegen dieser Tätigkeit in ihrem beruflichen Fortkommen nicht benachteiligt werden.

Unter anderem handelte XXXX dabei auch in seiner Funktion als Mitglied des Senats.Unter anderem handelte römisch 40 dabei auch in seiner Funktion als Mitglied des Senats.

Nach Einlangen bei mir wurde das „Dossier“ (Beilagenkonvolut) niemandem offen gelegt. Eine Weiterverarbeitung erfolgte, als das Konvolut von zwei Mitgliedern des Universitätsrats angefordert wurde. Der betreffende E-Mail-Verkehr enthielt zwar nicht den Namen Ihres Mandanten, er wird der Vollständigkeit halberund um Ihrem Mandanten den Vorgang nachvollziehbar zu machen, dennoch gerne übermittelt (Anlage, personenbezogene Daten Dritter anonymisiert).

Hier war zunächst zu prüfen, ob und in welcher Form, unter Wahrung allfälliger Betroffenenrechte, diesem Ersuchen nachzukommen war. Dazu wurde das Beilagenkonvolut dem Leiter des Zentralen Rechtsdienstes, XXXX , übergeben. Dieser nahm rechtliche Abklärungen vor und holte dabei Expertisen des externen Datenschutzbeauftragen und einer Wiener Anwaltskanzlei ein. Der Zweck dieser Anfragen war, rechtlich zu klären, ob unsere Grundsatzannahme zutreffend sei, dass der § 21 (2) UG nicht als lex specialis zu sehen sei, sondern grundrechts- und EU¬rechtskonform auszulegen sei, somit ein Vorgehen gemäß den Grundsätzen der DSGVO angezeigt sei und wir im Rahmen einer Befassung der Betroffenen, deren personenbezogene Daten im Akt sind, entsprechende Abwägungen vorzunehmen hätten, ob deren Interessen einer Weiterleitung im Wege stünden. Zudem sollte in Anbetracht der von Ihrem Mandanten, von Mitgliedern des Betriebsrats und von der Leiterin des Arbeitskreises für Gleichbehandlungsfragen geäußerten Bedenken gegen die Anlegung eines derart umfangreichen Beilagenkonvoluts mit Geschäftsstücken, die teilweise nicht erst vor kurzem vom Innenrevisor verarbeitet worden waren, eine umfassende Aufarbeitung des datenschutzrechtlichen Hintergrunds erfolgen und allfällige diesbezügliche Empfehlungen für die Zukunft erfolgen.Hier war zunächst zu prüfen, ob und in welcher Form, unter Wahrung allfälliger Betroffenenrechte, diesem Ersuchen nachzukommen war. Dazu wurde das Beilagenkonvolut dem Leiter des Zentralen Rechtsdienstes, römisch 40 , übergeben. Dieser nahm rechtliche Abklärungen vor und holte dabei Expertisen des externen Datenschutzbeauftragen und einer Wiener Anwaltskanzlei ein. Der Zweck dieser Anfragen war, rechtlich zu klären, ob unsere Grundsatzannahme zutreffend sei, dass der Paragraph 21, (2) UG nicht als lex specialis zu sehen sei, sondern grundrechts- und EU¬rechtskonform auszulegen sei, somit ein Vorgehen gemäß den Grundsätzen der DSGVO angezeigt sei und wir im Rahmen einer Befassung der Betroffenen, deren personenbezogene Daten im Akt sind, entsprechende Abwägungen vorzunehmen hätten, ob deren Interessen einer Weiterleitung im Wege stünden. Zudem sollte in Anbetracht der von Ihrem Mandanten, von Mitgliedern des Betriebsrats und von der Leiterin des Arbeitskreises für Gleichbehandlungsfragen geäußerten Bedenken gegen die Anlegung eines derart umfangreichen Beilagenkonvoluts mit Geschäftsstücken, die teilweise nicht erst vor kurzem vom Innenrevisor verarbeitet worden waren, eine umfassende Aufarbeitung des datenschutzrechtlichen Hintergrunds erfolgen und allfällige diesbezügliche Empfehlungen für die Zukunft erfolgen.

Eine Weiterleitung von personenbezogenen Daten Ihres Mandanten an den Datenschutzbeauftragten erfolgte dabei nicht. Der Wiener Anwaltskanzlei wurden auszugsweise einige Beilagen des Konvoluts übermittelt, die teilweise personenbezogene Daten Ihres Mandanten, nämlich Auszüge aus einem früheren E- Mail-Verkehr des Innenrevisors mit diesem, enthielten, und zwar die Seiten 5-10, 17 - 26 und 115-135 des Konvoluts. Das schien uns zum Grund Verständnis des Aufbaus des Beilagenkonvoluts erforderlich und war ohne Einholung einer expliziten Einverständniserklärung Ihres Mandanten zulässig.

Zur Abklärung von Betroffenenrechten, konkret mit der Bitte um Stellungnahme, ob einer Vorlage an den Universitätsrat zugestimmt werde, wurden Teile des Konvoluts, die teilweise personenbezogene Daten Ihres Mandanten enthalten, folgenden Dritten offengelegt:

dem Vorsitzenden des Betriebsrats für die Allgemeinen Bediensteten XXXX 13dem Vorsitzenden des Betriebsrats für die Allgemeinen Bediensteten römisch 40 13

Seiten (9, 10, 11, 51, 52, 53, 54, 55, 56, 57, 65, 115 und 116.) und:

der Vorsitzenden des Arbeitskreises für Gleichbehandlung XXXX : Seiten 6 -der Vorsitzenden des Arbeitskreises für Gleichbehandlung römisch 40 : Seiten 6 -

Hintergrund dieses Vorgehens war, diesen Betroffenen zu ermöglichen, allfällige Widerspruchsrechte gemäß Art. 21 Abs. 1 DSGVO geltend zu machen, da eine völlige Anonymisierung der Unterlagen hinsichtlich dieser Personen nicht möglich war.Hintergrund dieses Vorgehens war, diesen Betroffenen zu ermöglichen, allfällige Widerspruchsrechte gemäß Artikel 21, Absatz eins, DSGVO geltend zu machen, da eine völlige Anonymisierung der Unterlagen hinsichtlich dieser Personen nicht möglich war.

Nach Abklärung der Rechtslage und Einbeziehung der Betroffenen wurde das Beilagenkonvolut dem Universitätsrat übermittelt. Der Zweck ergab sich - wie sowohl der externe Datenschutzbeauftragte als auch die Wiener Anwaltskanzlei bestätigt hatten - dabei aus der gesetzlichen Verpflichtung gemäß § 21 Abs. 2 UG, wonach auf Ersuchen von zwei gemeinsamen Mitglieder des Universitätsrats Geschäftsstücke und Unterlagen vorzulegen sind, was auch personenbezogene Daten umfassen kann. Die Vorlage des Konvoluts erfolgte allerdings nicht im Original, sondern als Datei, in der sämtliche personenbezogenen Daten und mögliche Hinweise darauf wie Telefonnummern, E-Mail- Accounts, Anreden, Funktionsbezeichnungen umfassend geschwärzt waren. Sie enthielt somit keine personenbezoaenen Daten Ihres Mandanten, soweit eine Anonymisierung möglich war.Nach Abklärung der Rechtslage und Einbeziehung der Betroffenen wurde das Beilagenkonvolut dem Universitätsrat übermittelt. Der Zweck ergab sich - wie sowohl der externe Datenschutzbeauftragte als auch die Wiener Anwaltskanzlei bestätigt hatten - dabei aus der gesetzlichen Verpflichtung gemäß Paragraph 21, Absatz 2, UG, wonach auf Ersuchen von zwei gemeinsamen Mitglieder des Universitätsrats Geschäftsstücke und Unterlagen vorzulegen sind, was auch personenbezogene Daten umfassen kann. Die Vorlage des Konvoluts erfolgte allerdings nicht im Original, sondern als Datei, in der sämtliche personenbezogenen Daten und mögliche Hinweise darauf wie Telefonnummern, E-Mail- Accounts, Anreden, Funktionsbezeichnungen umfassend geschwärzt waren. Sie enthielt somit keine personenbezoaenen Daten Ihres Mandanten, soweit eine Anonymisierung möglich war.

Weitere Weiterleitunqen von personenbezoaenen Daten Ihres Mandanten aus dem Beilagenkonvolut (..Dossier) erfolgten nicht, ebensowenig soll von einem der aktuellen bzw. ehemaligen Dateninhaber eine künftige Offenlegung solcher personenbezoqenen Daten Ihres Mandanten in der Zukunft erfolgen: eine allfällige Verwendung für die Verteidigung, Ausübung oder Geltendmachung von Rechtsansprüchen muss ihnen im Lichte der von Ihrem Mandanten gesetzten bzw. angekündigten rechtlichen Schritte naturgemäß vorbehalten bleiben.

Zur Frage 3.

3. Falls möglich wird um Bekanntgabe der geplanten Dauer, für welche personenbezogene Daten Ihres Mandanten im Zusammenhang mit dem DOSSIER gespeichert werden, ersucht; falls dies nicht möglich ist, ersucht Ihr Mandant um Bekanntgabe der vom Rektorat der Universität definierten Kriterien für die Festlegung dieser Dauer.

Die Dateien im Zusammenhang mit dem angesprochenen Beilagenkonvolut („Dossier“) bleiben im Abteilungsarchiv des Leiters des Zentralen Rechtsdienstes abgelegt und sollen drei Jahre nach Anfall der gegenständlichen Prüfung, sohin mit Jahresende 2022, endgültig vernichtet werden. Die Notwendigkeit einer Aufbewahrung über drei Jahre ergibt sich vor allem aus § 24 Abs. 4 DSG. Darüber hinaus wäre eine längere Speicherung notwendig und zulässig, wenn konkrete Anhaltspunkte dafür bestünden, dass dies für die Verteidigung, Ausübung oder Geltendmachung von Rechtsansprüchen der Universität oder Dritter weiterhin erforderlich wäre.Die Dateien im Zusammenhang mit dem angesprochenen Beilagenkonvolut („Dossier“) bleiben im Abteilungsarchiv des Leiters des Zentralen Rechtsdienstes abgelegt und sollen drei Jahre nach Anfall der gegenständlichen Prüfung, sohin mit Jahresende 2022, endgültig vernichtet werden. Die Notwendigkeit einer Aufbewahrung über drei Jahre ergibt sich vor allem aus Paragraph 24, Absatz 4, DSG. Darüber hinaus wäre eine längere Speicherung notwendig und zulässig, wenn konkrete Anhaltspunkte dafür bestünden, dass dies für die Verteidigung, Ausübung oder Geltendmachung von Rechtsansprüchen der Universität oder Dritter weiterhin erforderlich wäre.

In einem Ordner des Büros des Universitätsrats bleiben die Bezug habenden Dateien bis zum Ende der Funktionsperiode desselben gespeichert, danach soll ein Löschung erfolgen. Soweit Bezug habende Dateien zusätzlich in Endgeräten im Besitz von Mitgliedern des Universitätsrats gespeichert sein sollten, erfolgt ein Löschung spätestens mit diesem Datum, worauf die Mitglieder des Universitätsrats im Zuge ihres Ausscheidens noch einmal gesondert und explizit hingewiesen werden.

Im Büro des Rektors ist eine Löschung der Bezug habenden Dateien mit Ende der Funktionsperiode des Rektorats geplant.

Zur Frage 4.

4. Weiters ersucht Ihr Mandant, dessen personenbezogenen Daten im Zusammenhang mit dem DOSSIER nicht bei ihm erhoben wurden, um alle verfügbaren Informationen über die Herkunft seiner diesbezüglichen personenbezogenen Daten.

Wie in den Ausführungen zu Fragen 1 und 2 bereits dargelegt, obliegen der Innenrevision der Universität XXXX einschlägige Prüf- und weitere Aufgaben.Wie in den Ausführungen zu Fragen 1 und 2 bereits dargelegt, obliegen der Innenrevision der Universität römisch 40 einschlägige Prüf- und weitere Aufgaben.

Diese erfordern u. a. die Verwendung von verschriftlichten Unterlagen. Sie kann dabei auf Grund der Regelungen der Richtlinien für die Gebarung auch aus eigenem tätig werden. Auf diesen Umstand hat bereits die Datenschutzbehörde in ihrem Bescheid zur Beschwerde Ihres Mandanten Bezug genommen.

Dementsprechend hatte die Innenrevision Zugang zu verschiedenen Datenbeständen, auch zum Aktenablagesystem der Universität XXXX , wie in der Erläuterung an die Datenschutzbehörde bereits ausgeführt. Die im anfragegegenständlichen Zusammenhang verarbeiteten Daten wurden zum einen von den jeweils zunächst verarbeitenden Stellen gespeichert, zum anderen war die Innenrevision selbst Adressatin wie auch Absenderin von Korrespondenz, die im beschwerdegegenständlichen Aktenkonvolut verwendet wurde, wie den im „Dossier“ vorliegenden Unterlagen entnommen werden kann.Dementsprechend hatte die Innenrevision Zugang zu verschiedenen Datenbeständen, auch zum Aktenablagesystem der Universität römisch 40 , wie in der Erläuterung an die Datenschutzbehörde bereits ausgeführt. Die im anfragegegenständlichen Zusammenhang verarbeiteten Daten wurden zum einen von den jeweils zunächst verarbeitenden Stellen gespeichert, zum anderen war die Innenrevision selbst Adressatin wie auch Absenderin von Korrespondenz, die im beschwerdegegenständlichen Aktenkonvolut verwendet wurde, wie den im „Dossier“ vorliegenden Unterlagen entnommen werden kann.

Schließlich war die Innenrevision - wie solche und ähnliche Institutionen in anderen Organisationen auch (beispielsweise der Rechnungshof, Landesrechnungshöfe oder Kontrollämter) - Adressatin von Eingaben, denen sie nachzugehen hatte (beispielsweise die Frage der Richtigkeit operativer Daten oder von vermuteten bzw. tatsächlichen Rechtsverstößen) und entstammten Daten daher auch in diesem Sinn an die Innenrevision eingebrachten Unterlagen.

Zu der damit im Zusammenhang von Ihrem Mandanten seinerzeit aufgeworfenen Frage der Vereinbarkeit der Tätigkeit als Innenrevisor und jener als Senatsmitglied verweise ich auf die Erledigung des Bundesministeriums für Bildung, Wissenschaft und Forschung als Aufsichtsbehörde, die die Vereinbarkeit dieser beiden Funktionen ausdrücklich bejaht hat. Zusammengefasst handelt es sich also um ausschließlich dienstliche Korrespondenz, welche die Innenrevision aus ihr zulässiger Weise zugänglichen Quellen zuständiger weise verarbeitet hatte.“

II.1.5. Zum Schreiben der Beschwerdeführerin, des Rektors der XXXX , dem Rektorat der XXXX und dem Universitätsrat der XXXX vom 02.09.2022: römisch zwei.1.5. Zum Schreiben der Beschwerdeführerin, des Rektors der römisch 40 , dem Rektorat der römisch 40 und dem Universitätsrat der römisch 40 vom 02.09.2022:

Mit Schreiben vom 02.09.2022 erfolgte eine Stellungnahme der Beschwerdeführerin gemeinsam mit dem Rektor der XXXX , dem Rektorat der XXXX und dem Universitätsrat der XXXX ; dessen Inhalt stellt sich auszugsweise dar wie folgt [Formatierung nicht wie im Original]: Mit Schreiben vom 02.09.2022 erfolgte eine Stellungnahme der Beschwerdeführerin gemeinsam mit dem Rektor der römisch 40 , dem Rektorat der römisch 40 und dem Universitätsrat der römisch 40 ; dessen Inhalt stellt sich auszugsweise dar wie folgt [Formatierung nicht wie im Original]:

„zu 1.:

Die zitierte Auskunft vom 8. 11. 2021 ging unter dem Punkt „Verantwortlicher gemäß Art. 4 Z 7 DSGVO“ ausführlich darauf ein, warum aus Sicht der Universität XXXX es nicht nur legitim, sondern auch zweckmäßig und im Sinne des Auskunftswerbers und einer möglichst vollständigen Auskunftserteilung war, dass alle Eingaben des Beschwerdeführers zum selben Betreff beim Rektorat gesammelt und koordiniert wurden. Es kann nicht einzelnen Organen der Universität – wie Universitätsrat, Senat oder Innenrevison – jeweils eine eigenständige Verantwortlichkeit für den Datenschutz zugewiesen werden, das würde diese Organe schon mangels zur Verfügung stehender Ressourcen überfordern und keineswegs zur Optimierung des Datenschutzes oder zu einer schnelleren oder vollständigeren Auskunft bei Anfragen führen. Die grundsätzliche Ausgestaltung des Rahmens etwa, wie welche Daten verarbeitet, an wen sie übermittelt und wann sie gelöscht werden, die Erstellung von Datenverarbeitungsverzeichnissen, die Vornahme von Schulungen, alles dies kann sinnvoll nicht durch einzelne Organe, sondern nur zentral seitens des Rektorats oder von diesem beauftragte zentrale Einrichtungen wahrgenommen werden; vgl. dazu BVerwG vom 30. 9. 202, W274 2225135-1/3E.Die zitierte Auskunft vom 8. 11. 2021 ging unter dem Punkt „Verantwortlicher gemäß Artikel 4, Ziffer 7, DSGVO“ ausführlich darauf ein, warum aus Sicht der Universität römisch 40 es nicht nur legitim, sondern auch zweckmäßig und im Sinne des Auskunftswerbers und einer möglichst vollständigen Auskunftserteilung war, dass alle Eingaben des Beschwerdeführers zum selben Betreff beim Rektorat gesammelt und koordiniert wurden. Es kann nicht einzelnen Organen der Universität – wie Universitätsrat, Senat oder Innenrevison – jeweils eine eigenständige Verantwortlichkeit für den Datenschutz zugewiesen werden, das würde diese Organe schon mangels zur Verfügung stehender Ressourcen überfordern und keineswegs zur Optimierung des Datenschutzes oder zu einer schnelleren oder vollständigeren Auskunft bei Anfragen führen. Die grundsätzliche Ausgestaltung des Rahmens etwa, wie welche Daten verarbeitet, an wen sie übermittelt und wann sie gelöscht werden, die Erstellung von Datenverarbeitungsverzeichnissen, die Vornahme von Schulungen, alles dies kann sinnvoll nicht durch einzelne Organe, sondern nur zentral seitens des Rektorats oder von diesem beauftragte zentrale Einrichtungen wahrgenommen werden; vergleiche dazu BVerwG vom 30. 9. 202, W274 2225135-1/3E.

Die bemängelte Auskunft erfolgte jedenfalls klar gegliedert nach den vier Fragen des Auskunftswerbers, unter konkreter Anführung, welche Person bzw. welches Organ im jeweiligen Zuständkeitsbereich die angesprochenen Daten des Beschwerdeführers (vom ihm als „Dossier“ bezeichnet) und zu welchem Zweck verarbeitet hat. Die Auskunft erfolgte ungeachtet des einigermaßen komplexen Sachverhalts unseres Erachtens in durchaus allgemein verständlicher Ausdrucksweise. Insbesondere war sehr wohl erkenntlich, welche Verarbeitung jeweils durch den Senat und dem Universitätsrat erfolgte bzw. eben nicht erfolgte. Die Auskunft entsprach daher dem in Art. 12 Abs. 1 DSGVO normierten Verständlichkeitsgebot.Die bemängelte Auskunft erfolgte jedenfalls klar gegliedert nach den vier Fragen des Auskunftswerbers, unter konkreter Anführung, welche Person bzw. welches Organ im jeweiligen Zuständkeitsbereich die angesprochenen Daten des Beschwerdeführers (vom ihm als „Dossier“ bezeichnet) und zu welchem Zweck verarbeitet hat. Die Auskunft erfolgte ungeachtet des einigermaßen komplexen Sachverhalts unseres Erachtens in durchaus allgemein verständlicher Ausdrucksweise. Insbesondere war sehr wohl erkenntlich, welche Verarbeitung jeweils durch den Senat und dem Universitätsrat erfolgte bzw. eben nicht erfolgte. Die Auskunft entsprach daher dem in Artikel 12, Absatz eins, DSGVO normierten Verständlichkeitsgebot.

zu 2.:

Da der Beschwerdeführer in seiner jetzigen Äußerung offenbar die gesetzliche Grundlage für den Aufgaben- und Zuständigkeitsbereich der Innenrevision in Frage stellt bzw. ihm diese unklar erscheint, darf hier ergänzend ausgeführt werden:

Der Beschwerdegegner bezieht sich damit offenbar auf einen Verweis in unserer Stellungnahme an die dsb vom 28. 3. 2022 auf S. 6 in unseres Auskunftsschreibens vom 8. 11. 2021, welches ausreichende Mitteilungen darüber enthalte, aus welchen Quellen der Innenrevisor kraft seines „gesetzlichen Aufgaben- und Zuständigkeitsbereichs“ die von ihm verwendeten Daten in rechtmäßiger Weise beziehen konnte.

Das Universitätsgesetz 2003 ist ein Rahmengesetz, welches bei seiner Erlassung den Universitäten – anders als unter den Vorgängergesetzen der Fall war – erstmals volle Autonomie bei der Detailregelung ihrer Binnenorganisation einräumte. Dies hat u.a. durch die autonome Erlassung eines Organisationsplans zu erfolgen (vgl. § 21 Abs. 1 Z. 1 i. V. m. §§ 22 Abs. 1 Z. 3 sowie 25 Abs. 1 Z. 3 UG). Dieser Organisationsplan dient dem Zweck, die gesetzlich der Universität übertragenen Aufgaben in einen geeigneten organisatorischen Rahmen umsetzen zu können. Dazu zählen u. a. auch die Aufgaben der Sicherstellung der Rechtmäßigkeit, Wirtschaftlichkeit, Zweckmäßigkeit, Sparsamkeit und Transparenz der Gebarung, ein adäquates Berichtswesen und die Sicherstellung der Einhaltung von Rechtsvorschriften (Compliance; siehe zu all dem: § 2 Z. 12 UG, § 15 Abs. 1 UG, § 16 Abs. 1 UG). Die Universität XXXX hat zur Wahrnehmung dieser Aufgaben im Organisationplan die Innenrevision eingerichtet.Das Universitätsgesetz 2003 ist ein Rahmengesetz, welches bei seiner Erlassung den Universitäten – anders als unter den Vorgängergesetzen der Fall war – erstmals volle Autonomie bei der Detailregelung ihrer Binnenorganisation einräumte. Dies hat u.a. durch die autonome Erlassung eines Organisationsplans zu erfolgen vergleiche Paragraph 21, Absatz eins, Ziffer eins, i. römisch fünf. m. Paragraphen 22, Absatz eins, Ziffer 3, sowie 25 Absatz eins, Ziffer 3, UG). Dieser Organisationsplan dient dem Zweck, die gesetzlich der Universität übertragenen Aufgaben in einen geeigneten organisatorischen Rahmen umsetzen zu können. Dazu zählen u. a. auch die Aufgaben der Sicherstellung der Rechtmäßigkeit, Wirtschaftlichkeit, Zweckmäßigkeit, Sparsamkeit und Transparenz der Gebarung, ein adäquates Berichtswesen und die Sicherstellung der Einhaltung von Rechtsvorschriften (Compliance; siehe zu all dem: Paragraph 2, Ziffer 12, UG, Paragraph 15, Absatz eins, UG, Paragraph 16, Absatz eins, UG). Die Universität römisch 40 hat zur Wahrnehmung dieser Aufgaben im Organisationplan die Innenrevision eingerichtet.

Es ist daher keineswegs ein Widerspruch, von einem „gesetzlichen Zuständigkeitsbereich“ der Innenrevision zu sprechen, auch wenn deren konkreten Aufgaben nicht im Gesetz selbst angeführt sind.

zu 3. und 4.:

Zunächst kann das Argument nicht nachvollzogen werden, inwieweit Art und Umfang der Auskunftspflicht sich danach richten sollten, ob der Beschwerdeführer irgendwelche, von ihm nicht näher bezeichneten, „Rechte gegenüber der Quelle“ durchzusetzen beabsichtigt. Maßgeblich sind vielmehr die Bestimmungen des Art. 15 Abs. 1 lit. g DSGVO, wonach der Betroffene ein Recht gegenüber dem Verantwortlichen in Bezug auf alle verfügbaren Informationen über die Herkunft der Daten hat. Dem hat die Universität XXXX nach ho. Auffassung bereits mit der Erledigung vom 8. 11. 2021 ausreichend entsprochen. Es sei ergänzend ausgeführt, dass dem Verantwortlichen keine nachträglichen Erhebungspflichten obliegen, die über die bei ihm verfügbaren Informationen hinausgehen (siehe BVerwG, 27.09.2019, W 101 2139434-1). Angemerkt werden darf dazu auch, dass Beschäftigte eines Verantwortlichen oder sonstige Stellen, die dem Verantwortlichen unmittelbar rechtlich unterworfen und in die Organisation des Verantwortlichen eingegliedert sind, nicht als Empfängerinnen bzw. Empfänger von Daten gelten. Ebenso kann schon allein deshalb, aber auch grundsätzlich von einer lückenlosen Aufzeichnungspflicht über die Datenquellen, insbesondere was die interne Korrespondenz eines Verantwortlichen betrifft, nicht ausgegangen werden. (Vgl. dazu u. a. Jahnel, Kommentar zur DSGVO, S. 337 ff.).Zunächst kann das Argument nicht nachvollzogen werden, inwieweit Art und Umfang der Auskunftspflicht sich danach richten sollten, ob der Beschwerdeführer irgendwelche, von ihm nicht näher bezeichneten, „Rechte gegenüber der Quelle“ durchzusetzen beabsichtigt. Maßgeblich sind vielmehr die Bestimmungen des Artikel 15, Absatz eins, Litera g, DSGVO, wonach der Betroffene ein Recht gegenüber dem Verantwortlichen in Bezug auf alle verfügbaren Informationen über die Herkunft der Daten hat. Dem hat die Universität römisch 40 nach ho. Auffassung bereits mit der Erledigung vom 8. 11. 2021 ausreichend entsprochen. Es sei ergänzend ausgeführt, dass dem Verantwortlichen keine nachträglichen Erhebungspflichten obliegen, die über die bei ihm verfügbaren Informationen hinausgehen (siehe BVerwG, 27.09.2019, W 101 2139434-1). Angemerkt werden darf dazu auch, dass Beschäftigte eines Verantwortlichen oder sonstige Stellen, die dem Verantwortlichen unmittelbar rechtlich unterworfen und in die Organisation des Verantwortlichen eingegliedert sind, nicht als Empfängerinnen bzw. Empfänger von Daten gelten. Ebenso kann schon allein deshalb, aber auch grundsätzlich von einer lückenlosen Aufzeichnungspflicht über die Datenquellen, insbesondere was die interne Korrespondenz eines Verantwortlichen betrifft, nicht ausgegangen werden. (Vgl. dazu u. a. Jahnel, Kommentar zur DSGVO, S. 337 ff.).

Wie ebenfalls bereits ausdrücklich festgehalten, wurden die in Rede stehenden Daten seitens der Innenrevision in zulässiger Weise verarbeitet, was dem Beschwerdeführer aus seiner damaligen Tätigkeit als Vizerektor (und gemäß der Geschäftsordnung des Rektorats auch als zuständiges Rektoratsmitglied für Angelegenheiten des Datenschutzes!) hinlänglich bekannt ist.

Um Ihrem Mandanten dennoch – und ungeachtet des mittlerweile äußerst beträchtlichen Aufwands mit der Beantwortung seiner diesbezüglichen Eingaben – entgegen zu kommen, erklärt sich die Universität XXXX zu einer ergänzenden Auskunft zur Erledigung vom 8. 11. 2021 bereit, in der auf die Einzeldatensätze des Beilagenkonvoluts näher eingegangen wird. Diese ergänzende Auskunft wird dem Beschwerdegegner unter Einem zugestellt (Kopie in der Anlage).Um Ihrem Mandanten dennoch – und ungeachtet des mittlerweile äußerst beträchtlichen Aufwands mit der Beantwortung seiner diesbezüglichen Eingaben – entgegen zu kommen, erklärt sich die Universität römisch 40 zu einer ergänzenden Auskunft zur Erledigung vom 8. 11. 2021 bereit, in der auf die Einzeldatensätze des Beilagenkonvoluts näher eingegangen wird. Diese ergänzende Auskunft wird dem Beschwerdegegner unter Einem zugestellt (Kopie in der Anlage).

zu 5.

Da dem Recht des Beschwerdeführers auf Auskunft über ihn betreffende Daten schon mit der Erledigung vom 8.11.201, jedenfalls aber nun mit der jetzt erfolgten ergänzenden Auskunft ausreichend entsprochen wurde, bedarf es aus unserer Sicht keinerlei zusätzlicher Feststellungen der Datenschutzbehörde.

Die vorliegende Stellungnahme ist mit dem Vorsitzenden des Universitätsrats akkordiert.“

II.1.6. Zur ergänzenden Auskunft der Beschwerdeführerin, des Rektors der XXXX , dem Rektorat der XXXX und dem Universitätsrat der XXXX vom 02.09.2022: römisch zwei.1.6. Zur ergänzenden Auskunft der Beschwerdeführerin, des Rektors der römisch 40 , dem Rektorat der römisch 40 und dem Universitätsrat der römisch 40 vom 02.09.2022:

Am 02.09.2022 erteilte die Beschwerdeführerin, der Rektor der XXXX , das Rektorat der XXXX und der Universitätsrat der XXXX der mitbeteiligten Partei eine ergänzende Auskunft, wobei eine Tabelle gegliedert nach den Spalten „Datum“, „Kontext beziehungsweise Gegenstand“, „Informationen über die Herkunft der Daten“ und „Anlage Nr.“ übermittelt wurde. Am 02.09.2022 erteilte die Beschwerdeführerin, der Rektor der römisch 40 , das Rektorat der römisch 40 und der Universitätsrat der römisch 40 der mitbeteiligten Partei eine ergänzende Auskunft, wobei eine Tabelle gegliedert nach den Spalten „Datum“, „Kontext beziehungsweise Gegenstand“, „Informationen über die Herkunft der Daten“ und „Anlage Nr.“ übermittelt wurde.

Festgestellt wird, dass hieraus nicht hervorgeht, welches Organ der Universität konkret welche personenbezogenen Daten in Bezug auf den Mitbeteiligten verarbeitet hat.

II.2. Beweiswürdigung:römisch zwei.2. Beweiswürdigung:

II.2.1. Zu II.1.1. Zu den verfahrenseinleitenden Anträgen und daraufhin geführten Verwaltungsverfahren vor der belangten Behörde:römisch zwei.2.1. Zu römisch zwei.1.1. Zu den verfahrenseinleitenden Anträgen und daraufhin geführten Verwaltungsverfahren vor der belangten Behörde:

Die diesbezüglichen Feststellungen konnten aufgrund der vorgelegten Mitteilung über die Einstellung des Verfahrens von der belangten Behörde vom 01.07.2022 getroffen werden.

II.2.2. Zu II.1.2. Zum Antrag auf Auskunft an die XXXX : römisch zwei.2.2. Zu römisch zwei.1.2. Zum Antrag auf Auskunft an die römisch 40 :

Die diesbezüglichen Feststellungen konnten auf Grundlage des Inhaltes des vorgelegten Antrages des Rechtsvertreters des Mitbeteiligten vom 12.08.2021 getroffen werden.

II.2.3. Zu II.1.3. (weiterer Antrag auf Auskunft):römisch zwei.2.3. Zu römisch zwei.1.3. (weiterer Antrag auf Auskunft):

Dass der Mitbeteiligte am 12.08.2021 zudem einen Antrag auf Auskunft an den Rektor der XXXX , das Rektorat der XXXX und den Universitätsrat der XXXX stellte, ergibt sich aus den Bescheiden zu den Zl D124.1013/22 / 2023-0.005.457, D124.1012/22 / 2022-0.771.711 und D124.1010/22 / 2022-0.770.729. Dass der Mitbeteiligte am 12.08.2021 zudem einen Antrag auf Auskunft an den Rektor der römisch 40 , das Rektorat der römisch 40 und den Universitätsrat der römisch 40 stellte, ergibt sich aus den Bescheiden zu den Zl D124.1013/22 / 2023-0.005.457, D124.1012/22 / 2022-0.771.711 und D124.1010/22 / 2022-0.770.729.

II.2.4. Zu II.1.4. (Schreiben der Beschwerdeführerin, des Rektors der XXXX , dem Rektorat der XXXX und dem Universitätsrat der XXXX vom 08.11.2021):römisch zwei.2.4. Zu römisch zwei.1.4. (Schreiben der Beschwerdeführerin, des Rektors der römisch 40 , dem Rektorat der römisch 40 und dem Universitätsrat der römisch 40 vom 08.11.2021):

Der Inhalt der Auskunft, die die Beschwerdeführerin gemeinsam mit dem Rektor der XXXX , dem Rektorat der XXXX und dem Universitätsrat der XXXX erteilte, geht unzweifelhaft aus dem vorgelegten Schreiben vom 08.11.2021 hervor. Der Inhalt der Auskunft, die die Beschwerdeführerin gemeinsam mit dem Rektor der römisch 40 , dem Rektorat der römisch 40 und dem Universitätsrat der römisch 40 erteilte, geht unzweifelhaft aus dem vorgelegten Schreiben vom 08.11.2021 hervor.

II.2.5. Zu II.1.5. (Schreiben der Beschwerdeführerin, des Rektors der XXXX , dem Rektorat der XXXX und dem Universitätsrat der XXXX vom 02.09.2022): römisch zwei.2.5. Zu römisch zwei.1.5. (Schreiben der Beschwerdeführerin, des Rektors der römisch 40 , dem Rektorat der römisch 40 und dem Universitätsrat der römisch 40 vom 02.09.2022):

Die Feststellungen zum Inhalt der Auskunft der Beschwerdeführerin, des Rektors der XXXX , des Rektorats der XXXX und des Universitätsrats der XXXX an den Mitbeteiligten gründen auf dem Inhalt des vorgelegten Schreibens vom 02.09.2022. Die Feststellungen zum Inhalt der Auskunft der Beschwerdeführerin, des Rektors der römisch 40 , des Rektorats der römisch 40 und des Universitätsrats der römisch 40 an den Mitbeteiligten gründen auf dem Inhalt des vorgelegten Schreibens vom 02.09.2022.

II.2.6. Zu II.1.6. (ergänzende Auskunft der Beschwerdeführerin, des Rektors der XXXX , des Rektorats der XXXX und des Universitätsrats der XXXX vom 02.09.2022): römisch zwei.2.6. Zu römisch zwei.1.6. (ergänzende Auskunft der Beschwerdeführerin, des Rektors der römisch 40 , des Rektorats der römisch 40 und des Universitätsrats der römisch 40 vom 02.09.2022):

Die Feststellungen zu der ergänzenden Auskunft konnten aufgrund des im Verwaltungsakt vorhandenen Schreibens vom 02.09.2022 getroffen werden.

Aus der im Schriftsatz angeführten Tabelle ergibt sich in keiner Weise, welches Organ konkret die Daten der mitbeteiligten Partei verarbeitet hat.

II.3. Rechtliche Beurteilung:römisch zwei.3. Rechtliche Beurteilung:

Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.Gemäß Paragraph 6, BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß § 27 DSG Senatszuständigkeit vor. Da es sich beim Beschwerdegegenstand um einen Bescheid der Datenschutzbehörde handelt, liegt gemäß Paragraph 27, DSG Senatszuständigkeit vor.

II.3.1. Zu Spruchpunkt A) – Abweisung der Beschwerde: römisch zwei.3.1. Zu Spruchpunkt A) – Abweisung der Beschwerde:

II.3.1.1. Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) idF BGBl. I Nr. 24/2018, lauten auszugsweise samt Überschrift wie folgt:römisch zwei.3.1.1. Die maßgeblichen Bestimmungen des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG) in der Fassung Bundesgesetzblatt Teil eins, Nr. 24 aus 2018,, lauten auszugsweise samt Überschrift wie folgt:

„§ 24 – Beschwerde an die Datenschutzbehörde

(1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.(1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen Paragraph eins, oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

[…]“

Die hier maßgebenden Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) lauten samt Überschrift auszugsweise:

„Artikel 4 DSGVO

Begriffsbestimmungen

[…]

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

[…]“

Artikel 12 DSGVO – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person – lautet auszugsweise:

(1) Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.

[…]

(3) Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Der Verantwortliche unterrichtet die betroffene Person innerhalb eines Monats nach Eingang des Antrags über eine Fristverlängerung, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt.

[…]“

Artikel 15 DSGVO – Auskunftsrecht der betroffenen Person – lautet:

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:

a) die Verarbeitungszwecke;

b) die Kategorien personenbezogener Daten, die verarbeitet werden;

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern oder bei internationalen Organisationen;

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung;

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten;

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und - zumindest in diesen Fällen - aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(2) Werden personenbezogene Daten an ein Drittland oder an eine internationale Organisation übermittelt, so hat die betroffene Person das Recht, über die geeigneten Garantien gemäß Artikel 46 im Zusammenhang mit der Übermittlung unterrichtet zu werden.

(3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Für alle weiteren Kopien, die die betroffene Person beantragt, kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt.

(4) Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen."

Die maßgeblichen Bestimmungen des Bundesgesetzes über die Organisation der Universitäten und ihre Studien (Universitätsgesetz 2002 – UG), idF BGBl. I Nr. 177/2021, lauten auszugsweise: Die maßgeblichen Bestimmungen des Bundesgesetzes über die Organisation der Universitäten und ihre Studien (Universitätsgesetz 2002 – UG), in der Fassung Bundesgesetzblatt Teil eins, Nr. 177 aus 2021,, lauten auszugsweise:

„§ 3. Die Universitäten erfüllen im Rahmen ihres Wirkungsbereichs folgende Aufgaben:

1. Entwicklung der Wissenschaften (Forschung und Lehre), Entwicklung und Erschließung der Kunst sowie Lehre der Kunst;

2. Bildung durch Wissenschaft und durch die Entwicklung und Erschließung der Künste;

3. wissenschaftliche, künstlerische, künstlerisch-pädagogische und künstlerisch-wissenschaftliche Berufsvorbildung, Qualifizierung für berufliche Tätigkeiten, die eine Anwendung wissenschaftlicher Erkenntnisse und Methoden erfordern, sowie Ausbildung der künstlerischen und wissenschaftlichen Fähigkeiten bis zur höchsten Stufe;

4. Entwicklung und Förderung geeigneter Karrieremodelle für den höchstqualifizierten wissenschaftlichen und künstlerischen Nachwuchs;

5. Weiterbildung;

6. Koordinierung der wissenschaftlichen Forschung (Entwicklung und Erschließung der Künste) und der Lehre innerhalb der Universität;

7. Unterstützung der nationalen und internationalen Zusammenarbeit im Bereich der wissenschaftlichen Forschung und Lehre sowie der Kunst;

8. Unterstützung der Nutzung und Umsetzung ihrer Forschungsergebnisse in der Praxis und Unterstützung der gesellschaftlichen Einbindung von Ergebnissen der Entwicklung und Erschließung der Künste;

9. Gleichstellung der Geschlechter sowie Frauenförderung;

10. Pflege der Kontakte zu den Absolventinnen und Absolventen;

11. Information der Öffentlichkeit über die Erfüllung der Aufgaben der Universitäten.

§ 4 Rechtsform Paragraph 4, Rechtsform

Die Universitäten sind juristische Personen des öffentlichen Rechts.“

§ 5 – Weisungsfreiheit und Satzungsfreiheit Paragraph 5, – Weisungsfreiheit und Satzungsfreiheit

Die Universitäten erfüllen ihre Aufgaben gemäß § 3 im Rahmen der Gesetze und Verordnungen weisungsfrei und geben sich ihre Satzung im Rahmen der Gesetze nach Maßgabe des Art. 81c Abs. 1 des Bundes-Verfassungsgesetzes (B-VG), BGBl. Nr. 1/1930, in der Fassung des Bundesgesetzes BGBl. I Nr. 2/2008.“ Die Universitäten erfüllen ihre Aufgaben gemäß Paragraph 3, im Rahmen der Gesetze und Verordnungen weisungsfrei und geben sich ihre Satzung im Rahmen der Gesetze nach Maßgabe des Artikel 81 c, Absatz eins, des Bundes-Verfassungsgesetzes (B-VG), Bundesgesetzblatt Nr. 1 aus 1930,, in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 2 aus 2008,.“

§ 20 – Leitung und innere Organisation Paragraph 20, – Leitung und innere Organisation

(1) Die obersten Organe der Universität sind der Universitätsrat, das Rektorat, die Rektorin oder der Rektor und der Senat.

(2) Die Mitgliedschaft in mehr als einem der obersten Organe der Universität ist unzulässig.

(3) Die Mitglieder von Kollegialorganen sind bei der Ausübung dieser Funktion an keine Weisungen oder Aufträge gebunden (Art. 81c Abs. 1 B-VG). Sie haben mit einfacher Stimmenmehrheit eine Vorsitzende oder einen Vorsitzenden zu wählen. Kommt eine zur Wahl, Entsendung oder Nominierung von Vertreterinnen und Vertretern in ein Kollegialorgan der Universität berufene Personengruppe dieser Verpflichtung nicht zeitgerecht nach, hat der Universitätsrat dieser Personengruppe eine einmalige Nachfrist zur Nachholung der Wahl, Entsendung oder Nominierung zu setzen. Kommt der Senat seiner Verpflichtung zur Wahl der Mitglieder des Universitätsrats gemäß § 21 Abs. 6 Z 1 oder Abs. 7 nicht zeitgerecht nach, hat die Bundesministerin oder der Bundesminister dem Senat eine einmalige Nachfrist zur Nachholung der Wahl zu setzen. Verstreicht diese Frist ergebnislos, gilt das Kollegialorgan auch ohne Vertreterinnen und Vertreter dieser Personengruppe als gesetzmäßig zusammengesetzt.(3) Die Mitglieder von Kollegialorganen sind bei der Ausübung dieser Funktion an keine Weisungen oder Aufträge gebunden (Artikel 81 c, Absatz eins, B-VG). Sie haben mit einfacher Stimmenmehrheit eine Vorsitzende oder einen Vorsitzenden zu wählen. Kommt eine zur Wahl, Entsendung oder Nominierung von Vertreterinnen und Vertretern in ein Kollegialorgan der Universität berufene Personengruppe dieser Verpflichtung nicht zeitgerecht nach, hat der Universitätsrat dieser Personengruppe eine einmalige Nachfrist zur Nachholung der Wahl, Entsendung oder Nominierung zu setzen. Kommt der Senat seiner Verpflichtung zur Wahl der Mitglieder des Universitätsrats gemäß Paragraph 21, Absatz 6, Ziffer eins, oder Absatz 7, nicht zeitgerecht nach, hat die Bundesministerin oder der Bundesminister dem Senat eine einmalige Nachfrist zur Nachholung der Wahl zu setzen. Verstreicht diese Frist ergebnislos, gilt das Kollegialorgan auch ohne Vertreterinnen und Vertreter dieser Personengruppe als gesetzmäßig zusammengesetzt.

[…]

§ 21 – Universitätsrat Paragraph 21, – Universitätsrat

(1) Der Universitätsrat hat in seiner Funktion als begleitend und vorausschauend tätiges Aufsichtsorgan folgende Aufgaben:

1. Genehmigung des Entwicklungsplans, des Organisationsplans, des Entwurfs der Leistungsvereinbarung sowie der Geschäftsordnung des Rektorats;

2. Ausschreibung der Funktion der Rektorin oder des Rektors spätestens acht Monate vor dem voraussichtlichen Freiwerden dieser Funktion bzw. innerhalb von drei Monaten ab dem Zeitpunkt der Abberufung oder des Rücktritts;

3. Erlassung der Bestimmungen für die Wahl der Rektorin oder des Rektors nach Einholung einer Stellungnahme des Senates, die dieser innerhalb von vier Wochen nach Vorlage abzugeben hat;

4. Wahl der Rektorin oder des Rektors aus dem Dreiervorschlag des Senats innerhalb von vier Wochen ab Vorlage des Vorschlags;

5. Wahl der Vizerektorinnen und Vizerektoren auf Grund eines Vorschlags der Rektorin oder des Rektors und nach Stellungnahme des Senats;

6. Abschluss der Zielvereinbarungen mit der Rektorin oder dem Rektor und dem Rektorat;

6a. Abschluss der Arbeitsverträge mit der Rektorin oder dem Rektor und den Vizerektorinnen und Vizerektoren;

7. Abberufung der Rektorin oder des Rektors und der Vizerektorinnen und Vizerektoren;

8. Nominierung eines weiblichen und eines männlichen Mitglieds für die Schiedskommission;

9. Genehmigung der Gründung von Gesellschaften und Stiftungen sowie der Beteiligung an Gesellschaften;

10. Genehmigung der Richtlinien für die Gebarung sowie Genehmigung des Rechnungsabschlusses und der Wissensbilanz des Rektorats und Weiterleitung an die Bundesministerin oder den Bundesminister;

11. Bestellung einer Abschlussprüferin oder eines Abschlussprüfers zur Prüfung des Rechnungsabschlusses der Universität;

12. Zustimmung zur Begründung von Verbindlichkeiten, die über die laufende Geschäftstätigkeit der Universität hinausgehen, sowie Ermächtigung des Rektorats, solche Verbindlichkeiten bis zu einer bestimmten Höhe ohne vorherige Einholung der Zustimmung des Universitätsrats einzugehen;

13. Pflicht zur unverzüglichen Berichterstattung an die Bundesministerin oder den Bundesminister bei schwerwiegenden Rechtsverstößen von Universitätsorganen, Gefahr eines schweren wirtschaftlichen Schadens, Vorliegen von für die strategische Ausrichtung der jeweiligen Universität wesentlichen Entwicklungen sowie Vorliegen von Umständen, welche die Universitätsleitung gravierend beeinträchtigen;

14. Zustimmung zum Budgetvoranschlag innerhalb von vier Wochen ab Vorlage durch das Rektorat; verweigert der Universitätsrat innerhalb von vier Wochen ab Vorlage die Zustimmung, hat das Rektorat unverzüglich einen neuen Budgetvoranschlag vorzulegen; stimmt der Universitätsrat nicht fristgerecht zu, gilt der Budgetvoranschlag als genehmigt;

15. Stellungnahme zur Leistungsvereinbarung vor Abschluss durch die Rektorin oder den Rektor innerhalb von drei Wochen;

16. Erlassung der Geschäftsordnung des Universitätsrats.“

§ 22 – Rektorat Paragraph 22, – Rektorat

Das Rektorat leitet die Universität und vertritt diese nach außen. Es hat alle Aufgaben wahrzunehmen, die durch dieses Bundesgesetz nicht einem anderen Organ zugewiesen sind. Zu seinen Aufgaben zählen insbesondere:

1. Erstellung eines Entwurfs der Satzung sowie von Entwürfen von Satzungsänderungen zur Vorlage an den Senat;

2. Erstellung eines Entwicklungsplans der Universität zur Vorlage an den Senat und an den Universitätsrat;

3. Erstellung eines Organisationsplans der Universität zur Vorlage an den Senat und an den Universitätsrat;

4. Erstellung eines Entwurfs der Leistungsvereinbarung zur Vorlage an den Universitätsrat;

5. Bestellung und Abberufung der Leiterinnen und Leiter von Organisationseinheiten;

6. Abschluss von Zielvereinbarungen mit den Leiterinnen und Leitern der Organisationseinheiten;

7. Zuordnung der Universitätsangehörigen (§ 94 Abs. 1 Z 2 bis 6) zu den einzelnen Organisationseinheiten; 7. Zuordnung der Universitätsangehörigen (Paragraph 94, Absatz eins, Ziffer 2 bis 6) zu den einzelnen Organisationseinheiten;

8. Aufnahme der Studierenden;

9. Einhebung der Studienbeiträge in der gesetzlich festgelegten Höhe;

9a. Festlegung der Lehrgangsbeiträge gemäß § 56 Abs. 5; 9a. Festlegung der Lehrgangsbeiträge gemäß Paragraph 56, Absatz 5,;

10. Veranlassung von Evaluierungen und der Veröffentlichung von Evaluierungsergebnissen;

11. Erteilung der Lehrbefugnis (venia docendi);

12. Initiierung der Erlassung und Änderung von Curricula und Information des Senats; das zuständige vom Senat eingesetzte Kollegialorgan für Studienangelegenheiten gemäß § 25 Abs. 8 Z 3 hat die Vorschläge des Rektorats innerhalb von sechs Monaten zu behandeln und den Senat und das Rektorat über das Ergebnis seiner Beratungen zu informieren; 12. Initiierung der Erlassung und Änderung von Curricula und Information des Senats; das zuständige vom Senat eingesetzte Kollegialorgan für Studienangelegenheiten gemäß Paragraph 25, Absatz 8, Ziffer 3, hat die Vorschläge des Rektorats innerhalb von sechs Monaten zu behandeln und den Senat und das Rektorat über das Ergebnis seiner Beratungen zu informieren;

12a. Erlassung von Richtlinien zur strukturellen Gestaltung von Curricula nach Stellungnahme des Senates;

12b. Einrichtung und Auflassung von Studien, Stellungnahme zu den Curricula, Untersagung von Curricula oder deren Änderungen, wenn diese dem Entwicklungsplan oder den Richtlinien gemäß Z 12a widersprechen oder wenn diese nicht bedeckbar sind, oder, wenn ein vom Rektorat in Auftrag gegebenes nach international anerkannten wissenschaftlichen Kriterien erstelltes Gutachten zu dem Schluss kommt, dass der Inhalt des Curriculums in Hinblick auf die wissenschaftliche und künstlerische Berufsvorbildung und die Qualifizierung für berufliche Tätigkeiten, welche die Anwendung wissenschaftlicher und künstlerischer Erkenntnisse und Methoden erfordern, nicht ausreichend ist; bei der Auflassung eines Studiums oder Untersagung eines Curriculums oder dessen Änderung sowie der Beauftragung eines Gutachtens ist nach Möglichkeit das Einvernehmen mit dem Senat herzustellen; 12b. Einrichtung und Auflassung von Studien, Stellungnahme zu den Curricula, Untersagung von Curricula oder deren Änderungen, wenn diese dem Entwicklungsplan oder den Richtlinien gemäß Ziffer 12 a, widersprechen oder wenn diese nicht bedeckbar sind, oder, wenn ein vom Rektorat in Auftrag gegebenes nach international anerkannten wissenschaftlichen Kriterien erstelltes Gutachten zu dem Schluss kommt, dass der Inhalt des Curriculums in Hinblick auf die wissenschaftliche und künstlerische Berufsvorbildung und die Qualifizierung für berufliche Tätigkeiten, welche die Anwendung wissenschaftlicher und künstlerischer Erkenntnisse und Methoden erfordern, nicht ausreichend ist; bei der Auflassung eines Studiums oder Untersagung eines Curriculums oder dessen Änderung sowie der Beauftragung eines Gutachtens ist nach Möglichkeit das Einvernehmen mit dem Senat herzustellen;

13. Einrichtung eines Rechnungs- und Berichtswesens;

14. Erstellung des Budgetvoranschlages zur Vorlage an den Universitätsrat und Budgetzuteilung;

14a. Übermittlung des Budgetvoranschlages an den Senat zur Information;

15. Erstellung des Rechnungsabschlusses und der Wissensbilanz;

16. Erlassung von Richtlinien für die Bevollmächtigung von Arbeitnehmerinnen und Arbeitnehmern der Universität gemäß § 28 Abs. 1; 16. Erlassung von Richtlinien für die Bevollmächtigung von Arbeitnehmerinnen und Arbeitnehmern der Universität gemäß Paragraph 28, Absatz eins,;

17. die Errichtung eines Planungs- und Berichterstattungssystems, das die Erfüllung der Berichterstattungspflichten durch die Universitäten nach den gesetzlichen Vorschriften und den Vorgaben der Bundesministerin oder des Bundesministers für Finanzen hinsichtlich der Einrichtung eines Beteiligungs- und Finanzcontrolling gewährleistet.“

§ 23 – Rektorin oder Rektor
(1) Die Rektorin oder der Rektor hat folgende Aufgaben: Paragraph 23, – Rektorin oder Rektor, (1) Die Rektorin oder der Rektor hat folgende Aufgaben:

1. Vorsitzende oder Vorsitzender sowie Sprecherin oder Sprecher des Rektorats;

2. Erstellung eines Vorschlags für die Wahl der Vizerektorinnen und Vizerektoren;

3. Leitung des Amts der Universität;

4. Verhandlung und Abschluss der Leistungsvereinbarungen mit der Bundesministerin oder dem Bundesminister und unverzügliche Information über das Ergebnis an den Universitätsrat;

5. Ausübung der Funktion der oder des obersten Vorgesetzten des gesamten Universitätspersonals;

(Anm.: Z 6 aufgehoben durch BGBl. I Nr. 81/2009) Anmerkung, Ziffer 6, aufgehoben durch Bundesgesetzblatt Teil eins, Nr. 81 aus 2009,)

7. Auswahlentscheidung aus Besetzungsvorschlägen der Berufungskommissionen für Universitätsprofessorinnen und Universitätsprofessoren;

8. Führung von Berufungsverhandlungen;

9. Abschluss von Arbeits- und Werkverträgen;

10. Erteilung von Vollmachten gemäß § 28 Abs. 1.“ 10. Erteilung von Vollmachten gemäß Paragraph 28, Absatz eins,

§ 25 – Senat
(1) Der Senat hat folgende Aufgaben: Paragraph 25, – Senat , (1) Der Senat hat folgende Aufgaben:

1. Erlassung und Änderung der Satzung auf Vorschlag des Rektorates;

2. Zustimmung zu dem vom Rektorat erstellten Entwurf des Entwicklungsplans innerhalb von zwei Monaten; stimmt der Senat nicht fristgerecht zu, ist der Entwicklungsplan dennoch an den Universitätsrat weiterzuleiten;

3. Zustimmung zu dem vom Rektorat beschlossenen Entwurf des Organisationsplans innerhalb von zwei Monaten; stimmt der Senat nicht fristgerecht zu, ist der Organisationsplan dennoch an den Universitätsrat weiterzuleiten;

4. Änderung der Größe des Universitätsrats und Wahl von Mitgliedern des Universitätsrats (§ 21 Abs. 6 Z 1, Abs. 6a und Abs. 7); 4. Änderung der Größe des Universitätsrats und Wahl von Mitgliedern des Universitätsrats (Paragraph 21, Absatz 6, Ziffer eins,, Absatz 6 a und Absatz 7,);

5. Zustimmung zur Ausschreibung für die Funktion der Rektorin oder des Rektors innerhalb von zwei Wochen ab Vorlage durch den Universitätsrat; verweigert der Senat innerhalb von zwei Wochen die Zustimmung, hat der Universitätsrat unverzüglich einen neuen Ausschreibungstext vorzulegen; stimmt der Senat neuerlich fristgerecht nicht zu, so geht die Zuständigkeit zur Ausschreibung auf die Bundesministerin oder den Bundesminister über. Trifft der Senat innerhalb von zwei Wochen keine Entscheidung, ist die Ausschreibung dennoch durchzuführen;

5a. Erstellung eines Dreiervorschlages an den Universitätsrat für die Wahl der Rektorin oder des Rektors unter Berücksichtigung des Vorschlages der Findungskommission innerhalb von längstens vier Wochen ab Vorlage des Vorschlages. Weicht der Senat vom Vorschlag der Findungskommission ab, hat er dem Dreiervorschlag an den Universitätsrat eine schriftliche Begründung für seine Entscheidung anzuschließen. Bei der Erstellung des Dreiervorschlages ist das Diskriminierungsverbot gemäß B-GlBG zu beachten;

6. Stellungnahme zu den Vorschlägen der Rektorin oder des Rektors bezüglich der Vizerektorinnen und Vizerektoren (Anzahl, Beschäftigungsausmaß und Wahlvorschlag);

7. Mitwirkung bei der Abberufung von Mitgliedern des Universitätsrats, der Rektorin oder des Rektors sowie von Vizerektorinnen und Vizerektoren;

8. Mitwirkung an Habilitationsverfahren;

9. Mitwirkung an Berufungsverfahren;

10. Stellungnahme an das Rektorat zu den Richtlinien zur strukturellen Gestaltung von Curricula;

10a. Erlassung und Änderung der Curricula für Studien (§§ 56 und 58) nach Maßgabe der §§ 22 Abs. 1 Z 12 und 54d Abs. 2; 10a. Erlassung und Änderung der Curricula für Studien (Paragraphen 56 und 58) nach Maßgabe der Paragraphen 22, Absatz eins, Ziffer 12 und 54 d Absatz 2,;

11. Festlegung von akademischen Graden und Bezeichnungen für die Absolventinnen und Absolventen von Universitätslehrgängen;

12. Abgabe von Gutachten im Beschwerdevorentscheidungsverfahren gemäß § 14 des Verwaltungsgerichtsverfahrensgesetzes – VwGVG, BGBl. I Nr. 33/2013 bei Beschwerden in Studienangelegenheiten; 12. Abgabe von Gutachten im Beschwerdevorentscheidungsverfahren gemäß Paragraph 14, des Verwaltungsgerichtsverfahrensgesetzes – VwGVG, Bundesgesetzblatt Teil eins, Nr. 33 aus 2013, bei Beschwerden in Studienangelegenheiten;

(Anm.: Z 13 aufgehoben durch Art. 5 Z 8, BGBl. I Nr. 129/2017) Anmerkung, Ziffer 13, aufgehoben durch Artikel 5, Ziffer 8,, Bundesgesetzblatt Teil eins, Nr. 129 aus 2017,)

14. Einsetzung von Kollegialorganen mit und ohne Entscheidungsbefugnis (Abs. 7 und 8); 14. Einsetzung von Kollegialorganen mit und ohne Entscheidungsbefugnis (Absatz 7 und 8);

15. Erlassung von Richtlinien für die Tätigkeit von Kollegialorganen;

16. Genehmigung der Durchführung von Beschlüssen der entscheidungsbefugten Kollegialorgane;

17. Stellungnahme an das Rektorat vor der Zuordnung von Personen zu den einzelnen Organisationseinheiten durch das Rektorat;

18. Einrichtung eines Arbeitskreises für Gleichbehandlungsfragen;

19. Nominierung eines weiblichen und eines männlichen Mitglieds für die Schiedskommission.

(Anm.: Z 20 aufgehoben durch BGBl. I Nr. 81/2009) Anmerkung, Ziffer 20, aufgehoben durch Bundesgesetzblatt Teil eins, Nr. 81 aus 2009,)

(2) Der Senat besteht aus achtzehn oder sechsundzwanzig Mitgliedern. Über eine Änderung der Größe des Senats entscheidet der Senat mit Zweidrittelmehrheit.

(3) Dem Senat gehören Vertreterinnen und Vertreter der Universitätsprofessorinnen und Universitätsprofessoren, einschließlich der Leiterinnen und Leiter von Organisationseinheiten mit Forschungs- und Lehraufgaben oder Aufgaben der Entwicklung und Erschließung der Künste und der Lehre der Kunst, die keine Universitätsprofessorinnen und Universitätsprofessoren sind, der im § 94 Abs. 2 Z 2 und Z 3 genannten Gruppen, des allgemeinen Universitätspersonals und der Studierenden an. (3) Dem Senat gehören Vertreterinnen und Vertreter der Universitätsprofessorinnen und Universitätsprofessoren, einschließlich der Leiterinnen und Leiter von Organisationseinheiten mit Forschungs- und Lehraufgaben oder Aufgaben der Entwicklung und Erschließung der Künste und der Lehre der Kunst, die keine Universitätsprofessorinnen und Universitätsprofessoren sind, der im Paragraph 94, Absatz 2, Ziffer 2 und Ziffer 3, genannten Gruppen, des allgemeinen Universitätspersonals und der Studierenden an.

(3a) Die Anzahl der Vertreterinnen und Vertreter dieser Gruppen ist folgendermaßen festgelegt:

1. gehören dem Senat achtzehn Mitglieder an:

– Neun Vertreterinnen und Vertreter der Universitätsprofessorinnen und Universitätsprofessoren einschließlich der Leiterinnen und Leiter von Organisationseinheiten mit Forschungs- und Lehraufgaben oder Aufgaben der Entwicklung und Erschließung der Künste und der Lehre der Kunst, die keine Universitätsprofessorinnen und Universitätsprofessoren sind;

– Vier Vertreterinnen und Vertreter der Gruppe der Universitätsdozentinnen und Universitätsdozenten sowie der wissenschaftlichen und künstlerischen Mitarbeiterinnen und Mitarbeiter im Forschungs-, Kunst- und Lehrbetrieb einschließlich der Ärztinnen und Ärzte in Facharztausbildung;

– Vier Vertreterinnen und Vertreter der Studierenden;

– Eine Vertreterin oder ein Vertreter des allgemeinen Universitätspersonals.

2. gehören dem Senat sechsundzwanzig Mitglieder an:

– Dreizehn Vertreterinnen und Vertreter der Universitätsprofessorinnen und Universitätsprofessoren einschließlich der Leiterinnen und Leiter von Organisationseinheiten mit Forschungs- und Lehraufgaben oder Aufgaben der Entwicklung und Erschließung der Künste und der Lehre der Kunst, die keine Universitätsprofessorinnen und Universitätsprofessoren sind;

– Sechs Vertreterinnen und Vertreter der Gruppe der Universitätsdozentinnen und Universitätsdozenten sowie der wissenschaftlichen und künstlerischen Mitarbeiterinnen und Mitarbeiter im Forschungs-, Kunst- und Lehrbetrieb einschließlich der Ärztinnen und Ärzte in Facharztausbildung;

– Sechs Vertreterinnen und Vertreter der Studierenden;

– Eine Vertreterin oder ein Vertreter des allgemeinen Universitätspersonals.

(4) Die Mitglieder und Ersatzmitglieder des Senats sind folgendermaßen zu wählen bzw. zu entsenden:

1. Die Vertreterinnen und Vertreter der Universitätsprofessorinnen und Universitätsprofessoren sind von allen Universitätsprofessorinnen und Universitätsprofessoren (§ 97) und den Leiterinnen und Leitern von Organisationseinheiten mit Forschungs- und Lehraufgaben oder Aufgaben der Entwicklung und Erschließung der Künste und der Lehre der Kunst, die keine Universitätsprofessorinnen und Universitätsprofessoren sind, zu wählen. 1. Die Vertreterinnen und Vertreter der Universitätsprofessorinnen und Universitätsprofessoren sind von allen Universitätsprofessorinnen und Universitätsprofessoren (Paragraph 97,) und den Leiterinnen und Leitern von Organisationseinheiten mit Forschungs- und Lehraufgaben oder Aufgaben der Entwicklung und Erschließung der Künste und der Lehre der Kunst, die keine Universitätsprofessorinnen und Universitätsprofessoren sind, zu wählen.

2. Die Vertreterinnen und Vertreter der in den § 94 Abs. 2 Z 2 und 3 genannten Gruppen sind von allen Universitätsdozentinnen und Universitätsdozenten (§ 122 Abs. 3) sowie den wissenschaftlichen und künstlerischen Mitarbeiterinnen und Mitarbeitern im Forschungs-, Kunst- und Lehrbetrieb (§ 100) sowie den Ärztinnen und Ärzten in Facharztausbildung (§ 96) zu wählen. An den Universitäten gemäß § 6 Abs. 1 Z 1 bis 15 und 22 muss den Gewählten zumindest eine Person mit Lehrbefugnis (venia docendi) angehören. 2. Die Vertreterinnen und Vertreter der in den Paragraph 94, Absatz 2, Ziffer 2 und 3 genannten Gruppen sind von allen Universitätsdozentinnen und Universitätsdozenten (Paragraph 122, Absatz 3,) sowie den wissenschaftlichen und künstlerischen Mitarbeiterinnen und Mitarbeitern im Forschungs-, Kunst- und Lehrbetrieb (Paragraph 100,) sowie den Ärztinnen und Ärzten in Facharztausbildung (Paragraph 96,) zu wählen. An den Universitäten gemäß Paragraph 6, Absatz eins, Ziffer eins bis 15 und 22 muss den Gewählten zumindest eine Person mit Lehrbefugnis (venia docendi) angehören.

3. Die Vertreterinnen und Vertreter des allgemeinen Universitätspersonals sind von allen Angehörigen des allgemeinen Universitätspersonals zu wählen.

4. Die Vertreterinnen und Vertreter der Studierenden sind zu entsenden (§ 32 Abs. 1 des Hochschülerinnen- und Hochschülerschaftsgesetzes 2014 – HSG 2014, BGBl. I Nr. 45/2014). 4. Die Vertreterinnen und Vertreter der Studierenden sind zu entsenden (Paragraph 32, Absatz eins, des Hochschülerinnen- und Hochschülerschaftsgesetzes 2014 – HSG 2014, Bundesgesetzblatt Teil eins, Nr. 45 aus 2014,).

Die Wahlen gemäß Z 1, 2 und 3 können als Briefwahl durchgeführt werden. Näheres ist in der Wahlordnung (§ 19 Abs. 2 Z 1) festzulegen. Die Mitglieder gemäß Z 1 bis 3 dürfen für höchstens vier unmittelbar aufeinanderfolgende Funktionsperioden gewählt werden. Die Wahlen gemäß Ziffer eins, 2 und 3 können als Briefwahl durchgeführt werden. Näheres ist in der Wahlordnung (Paragraph 19, Absatz 2, Ziffer eins,) festzulegen. Die Mitglieder gemäß Ziffer eins bis 3 dürfen für höchstens vier unmittelbar aufeinanderfolgende Funktionsperioden gewählt werden.

(Anm.: Abs. 4a aufgehoben durch BGBl. I Nr. 21/2015) Anmerkung, Absatz 4 a, aufgehoben durch Bundesgesetzblatt Teil eins, Nr. 21 aus 2015,)

(5) Die Funktionsperiode des Senats beträgt drei Jahre und beginnt mit dem 1. Oktober des betreffenden Jahres.

(6) Der Senat ist beschlussfähig, wenn wenigstens die Hälfte der Mitglieder anwesend ist. Er entscheidet mit Stimmenmehrheit, sofern in diesem Bundesgesetz nicht anderes bestimmt ist.

(7) Vom Senat können zur Beratung oder Entscheidung einzelner seiner Aufgaben Kollegialorgane eingerichtet werden.

(Anm.: Abs. 7a aufgehoben durch BGBl. I Nr. 21/2015) Anmerkung, Absatz 7 a, aufgehoben durch Bundesgesetzblatt Teil eins, Nr. 21 aus 2015,)

(8) Für folgende Angelegenheiten sind entscheidungsbefugte Kollegialorgane einzusetzen:

1. Habilitationsverfahren (§ 103), 1. Habilitationsverfahren (Paragraph 103,),

2. Berufungsverfahren (§ 98),2. Berufungsverfahren (Paragraph 98,),

3. Studienangelegenheiten gemäß § 25 Abs. 1 Z 10. 3. Studienangelegenheiten gemäß Paragraph 25, Absatz eins, Ziffer 10,

Für die Beschlussfassung über die Einsetzung eines Kollegialorgans gemäß Z 1 und 2 ist neben den sonstigen Beschusserfordernissen eine Mehrheit der anwesenden Mitglieder der Gruppe gemäß Abs. 4 Z 1 einschließlich der sonstigen Mitglieder des Senats mit venia docendi erforderlich. Für die Beschlussfassung über die Einsetzung eines Kollegialorgans gemäß Ziffer eins und 2 ist neben den sonstigen Beschusserfordernissen eine Mehrheit der anwesenden Mitglieder der Gruppe gemäß Absatz 4, Ziffer eins, einschließlich der sonstigen Mitglieder des Senats mit venia docendi erforderlich.

(9) Die Zahl der Mitglieder der Kollegialorgane gemäß Abs. 8 darf die Hälfte der Zahl der Senatsmitglieder nicht überschreiten. In den Kollegialorganen gemäß Abs. 8 Z 3 stellen die Studierenden mindestens ein Viertel der Mitglieder. Die Kollegialorgane gemäß Abs. 7 haben in ihrer Zusammensetzung der Relation der Vertreterinnen und Vertreter der einzelnen Gruppen im Senat zu entsprechen. (9) Die Zahl der Mitglieder der Kollegialorgane gemäß Absatz 8, darf die Hälfte der Zahl der Senatsmitglieder nicht überschreiten. In den Kollegialorganen gemäß Absatz 8, Ziffer 3, stellen die Studierenden mindestens ein Viertel der Mitglieder. Die Kollegialorgane gemäß Absatz 7, haben in ihrer Zusammensetzung der Relation der Vertreterinnen und Vertreter der einzelnen Gruppen im Senat zu entsprechen.

(10) Die Kollegialorgane gemäß Abs. 7 und Abs. 8 Z 3 sind längstens für die Dauer der Funktionsperiode des Senats einzurichten. Diese Kollegialorgane sind an die Richtlinien des Senats gebunden und entscheiden in dessen Namen. Der Senat kann eine gemäß Abs. 7 erteilte Entscheidungsvollmacht jederzeit widerrufen. Die Beschlüsse der Kollegialorgane gemäß Abs. 7 und Abs. 8 Z 3 bedürfen der Genehmigung des Senats. (10) Die Kollegialorgane gemäß Absatz 7 und Absatz 8, Ziffer 3, sind längstens für die Dauer der Funktionsperiode des Senats einzurichten. Diese Kollegialorgane sind an die Richtlinien des Senats gebunden und entscheiden in dessen Namen. Der Senat kann eine gemäß Absatz 7, erteilte Entscheidungsvollmacht jederzeit widerrufen. Die Beschlüsse der Kollegialorgane gemäß Absatz 7 und Absatz 8, Ziffer 3, bedürfen der Genehmigung des Senats.

(Anm.: Abs. 11 aufgehoben durch Art. 5 Z 9, BGBl. I Nr. 129/2017)“Anmerkung, Absatz 11, aufgehoben durch Artikel 5, Ziffer 9,, Bundesgesetzblatt Teil eins, Nr. 129 aus 2017,)“

II.3.1.2. Einleitend ist festzuhalten, dass im gegenständlich angefochtenen Bescheid mitbeteiligte Partei lediglich die Universität XXXX gewesen ist und hinsichtlich der übrigen Organe der Universität eigene Bescheide der Datenschutzbehörde ergingen (siehe die zur Zl D124.1013/22 / 2023-0.005.457, Zl D124.1012/22 / 2022-0.771.711 und Zl D124.1010/22 / 2022-0.770.729 ergangenen Bescheide; diesbezügliche Beschwerdeverfahren sind beim Bundesverwaltungsgericht zum Entscheidungszeitpunkt anhängig).römisch zwei.3.1.2. Einleitend ist festzuhalten, dass im gegenständlich angefochtenen Bescheid mitbeteiligte Partei lediglich die Universität römisch 40 gewesen ist und hinsichtlich der übrigen Organe der Universität eigene Bescheide der Datenschutzbehörde ergingen (siehe die zur Zl D124.1013/22 / 2023-0.005.457, Zl D124.1012/22 / 2022-0.771.711 und Zl D124.1010/22 / 2022-0.770.729 ergangenen Bescheide; diesbezügliche Beschwerdeverfahren sind beim Bundesverwaltungsgericht zum Entscheidungszeitpunkt anhängig).

II.3.1.3. Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Art. 4 Z 7 DSGVO diejenige natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.römisch zwei.3.1.3. Für eine Verarbeitung personenbezogener Daten „Verantwortlicher“ ist gemäß Artikel 4, Ziffer 7, DSGVO diejenige natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden.

Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und dient diese Rollenverteilung der klaren Zuweisung von Verantwortlichkeiten. Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde (vgl. Art. 24 DSGVO und ErwGr 74).Beim Verantwortlichen handelt es sich um jene Person oder Einrichtung, die dafür zu sorgen hat, dass die Datenschutzbestimmungen der DSGVO eingehalten werden. Damit gilt der Verantwortliche als Adressat der Pflichten aus der DSGVO und dient diese Rollenverteilung der klaren Zuweisung von Verantwortlichkeiten. Der Verantwortliche ist Adressat von Ansprüchen der betroffenen Person und gilt als Ansprechstelle für Maßnahmen der Aufsichtsbehörde vergleiche Artikel 24, DSGVO und ErwGr 74).

Der Verantwortliche hat geeignete Maßnahmen zu treffen, um sicherzustellen, dass jegliche Datenverarbeitung im Einklang mit der DSGVO und den ausführenden bzw ergänzenden Bestimmungen der nationalen Datenschutzgesetze erfolgt. Er ist sohin verantwortlich für die Einhaltung maßgeblicher Schranken, die Einhaltung der Rechte der betroffenen Personen und er ist Gegenstand der Verantwortlichkeit bei konkreten Datenverarbeitungen.

Die Rolle des für die Verarbeitung Verantwortlichen definiert sich hierbei durch drei Merkmale:

1. jede natürliche oder juristische Person, Behörde, Einrichtung oder jede andere Stelle (personenbezogener Aspekt),

2. die allein oder gemeinsam mit anderen (pluralistische Kontrolle),

3. über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden (Entscheidungsfunktion) (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 80 (Stand 1.12.2018, rdb.at)). 3. über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheiden (Entscheidungsfunktion) (Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 80 (Stand 1.12.2018, rdb.at)).

Da als Verantwortlicher jede natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle in Frage kommt, wird deutlich, dass es auf die Organisationsform nicht ankommt, dass sohin sowohl natürliche als auch juristische Personen und vergleichbare Personenmehrheiten, Verantwortliche nach der DSGVO sein können, unabhängig davon, ob sie öffentlich rechtlich oder privatrechtlich organisiert sind (Hödl in Knyrim, DatKomm Art 4 DSGVO Rz 81 (Stand 1.12.2018, rdb.at)).Da als Verantwortlicher jede natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle in Frage kommt, wird deutlich, dass es auf die Organisationsform nicht ankommt, dass sohin sowohl natürliche als auch juristische Personen und vergleichbare Personenmehrheiten, Verantwortliche nach der DSGVO sein können, unabhängig davon, ob sie öffentlich rechtlich oder privatrechtlich organisiert sind (Hödl in Knyrim, DatKomm Artikel 4, DSGVO Rz 81 (Stand 1.12.2018, rdb.at)).

Werden personenbezogene Daten im Bereich einer juristischen Person verarbeitet, ist grundsätzlich die juristische Person als Rechtsträger der betroffenen Einrichtung oder des betroffenen Unternehmens Verantwortlicher und nicht die jeweils handelnde natürliche Person (Jahnel, Kommentar zur Datenschutz-Grundverordnung (DSGVO), Art. 4 Rz 10). Auch nach den Leitlinien 07/2020 des EDSA zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO (Version 2.0, Rz 18 und 19) wird eine Abteilung oder Einheit nicht zum Verantwortlichen, wenn diese die operative Verantwortung für die Einhaltung der Vorschriften bei bestimmten Verarbeitungsvorgängen trägt. Vielmehr kann nach den Leitlinien grundsätzlich davon ausgegangen werden, dass jede Verarbeitung personenbezogener Daten durch Mitarbeiter im Tätigkeitsbereich einer Organisation unter der Kontrolle dieser Organisation erfolgt. Werden personenbezogene Daten im Bereich einer juristischen Person verarbeitet, ist grundsätzlich die juristische Person als Rechtsträger der betroffenen Einrichtung oder des betroffenen Unternehmens Verantwortlicher und nicht die jeweils handelnde natürliche Person (Jahnel, Kommentar zur Datenschutz-Grundverordnung (DSGVO), Artikel 4, Rz 10). Auch nach den Leitlinien 07 aus 2020, des EDSA zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DSGVO (Version 2.0, Rz 18 und 19) wird eine Abteilung oder Einheit nicht zum Verantwortlichen, wenn diese die operative Verantwortung für die Einhaltung der Vorschriften bei bestimmten Verarbeitungsvorgängen trägt. Vielmehr kann nach den Leitlinien grundsätzlich davon ausgegangen werden, dass jede Verarbeitung personenbezogener Daten durch Mitarbeiter im Tätigkeitsbereich einer Organisation unter der Kontrolle dieser Organisation erfolgt.

II.3.1.4. Fallbezogen war, wie bereits von der belangten Behörde in der rechtlichen Beurteilung des angefochtenen Bescheides zutreffend festgestellt, zunächst auszuführen, dass sich aufgrund der zuvor zitierten gesetzlichen Bestimmungen des Universitätsgesetzes klar ergibt, dass den Organen der mitbeteiligten Partei im Rahmen ihres zugewiesenen Aufgabenbereichs Entscheidungskompetenz im Hinblick auf die Zwecke und die Mittel, insbesondere durch Weisungsfreistellung, bei der Verarbeitung von personenbezogenen Daten zukommt. Den Organen der Beschwerdeführerin sind gesetzlich klar definierte Aufgabenbereiche zugewiesen, bei denen ihnen alleinige Entscheidungskompetenz zukommt. römisch zwei.3.1.4. Fallbezogen war, wie bereits von der belangten Behörde in der rechtlichen Beurteilung des angefochtenen Bescheides zutreffend festgestellt, zunächst auszuführen, dass sich aufgrund der zuvor zitierten gesetzlichen Bestimmungen des Universitätsgesetzes klar ergibt, dass den Organen der mitbeteiligten Partei im Rahmen ihres zugewiesenen Aufgabenbereichs Entscheidungskompetenz im Hinblick auf die Zwecke und die Mittel, insbesondere durch Weisungsfreistellung, bei der Verarbeitung von personenbezogenen Daten zukommt. Den Organen der Beschwerdeführerin sind gesetzlich klar definierte Aufgabenbereiche zugewiesen, bei denen ihnen alleinige Entscheidungskompetenz zukommt.

Bei der Beschwerdeführerin handelt es sich nach § 4 UG um eine juristische Person des öffentlichen Rechts. Aus § 20 UG ergibt sich, dass der Universitätsrat, das Rektorat, die Rektorin oder der Rektor sowie der Senat die obersten Organe der Universität sind. Gemäß § 20 Abs. 3 UG sind die Mitglieder von Kollegialorganen bei der Ausübung dieser Funktion an keine Weisungen oder Aufträge gebunden. Die Mitglieder universitärer Kollegialorgane sind bereits in Art. 81c Abs. 1 B-VG letzter Satz weisungsfrei gestellt. Die Regelung gilt für die im § 20 Abs. 1 UG vorgesehenen kollegialen obersten Leitungsorgane wie auch für Kollegialorgane, die vom Senat einzurichten sind (§ 25 Abs 1 Z 14, Abs 7 und 8 UG), vgl. Perthold-Stoitzner in Perthold-Stoitzner, UG, Rz 4.Bei der Beschwerdeführerin handelt es sich nach Paragraph 4, UG um eine juristische Person des öffentlichen Rechts. Aus Paragraph 20, UG ergibt sich, dass der Universitätsrat, das Rektorat, die Rektorin oder der Rektor sowie der Senat die obersten Organe der Universität sind. Gemäß Paragraph 20, Absatz 3, UG sind die Mitglieder von Kollegialorganen bei der Ausübung dieser Funktion an keine Weisungen oder Aufträge gebunden. Die Mitglieder universitärer Kollegialorgane sind bereits in Artikel 81 c, Absatz eins, B-VG letzter Satz weisungsfrei gestellt. Die Regelung gilt für die im Paragraph 20, Absatz eins, UG vorgesehenen kollegialen obersten Leitungsorgane wie auch für Kollegialorgane, die vom Senat einzurichten sind (Paragraph 25, Absatz eins, Ziffer 14,, Absatz 7 und 8 UG), vergleiche Perthold-Stoitzner in Perthold-Stoitzner, UG, Rz 4.

Insgesamt ist daher festzuhalten, dass unter Zugrundelegung des funktionalen Begriffskonzepts des Verantwortlichen im Sinne von Art. 4 Z 7 DSGVO den Organen der Beschwerdeführerin im Rahmen des ihr durch das Universitätsgesetz zugewiesenen Aufgabenbereiches Entscheidungskompetenz im Hinblick auf die Zwecke, festgelegt durch das Universitätsgesetz sowie die Mittel bei der Verarbeitung personenbezogener Daten obliegt, Dies folgt insbesondere aus deren Weisungsfreistellung. Diese sind daher jeweils als eigenständige datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Z 7 DSGVO anzusehen, wodurch nicht nur die XXXX als Körperschaft, sondern auch ihre Organe die Pflicht zukommt, einem datenschutzrechtlichen Auskunftsbegehren nachzukommen. Insgesamt ist daher festzuhalten, dass unter Zugrundelegung des funktionalen Begriffskonzepts des Verantwortlichen im Sinne von Artikel 4, Ziffer 7, DSGVO den Organen der Beschwerdeführerin im Rahmen des ihr durch das Universitätsgesetz zugewiesenen Aufgabenbereiches Entscheidungskompetenz im Hinblick auf die Zwecke, festgelegt durch das Universitätsgesetz sowie die Mittel bei der Verarbeitung personenbezogener Daten obliegt, Dies folgt insbesondere aus deren Weisungsfreistellung. Diese sind daher jeweils als eigenständige datenschutzrechtlich Verantwortliche im Sinne von Artikel 4, Ziffer 7, DSGVO anzusehen, wodurch nicht nur die römisch 40 als Körperschaft, sondern auch ihre Organe die Pflicht zukommt, einem datenschutzrechtlichen Auskunftsbegehren nachzukommen.

Den Ausführungen der Beschwerdeführerin hingegen, wonach diese die Rechtsauffassung vertrete, die Beschwerdeführerin sei, vertreten durch den Rektor, eine einheitlicher Verantwortlicher im Sinne von Art. 4 Z 7 DSGVO, kann aus Sicht des erkennenden Senates aufgrund der nachstehenden Erwägungen nicht gefolgt werden:Den Ausführungen der Beschwerdeführerin hingegen, wonach diese die Rechtsauffassung vertrete, die Beschwerdeführerin sei, vertreten durch den Rektor, eine einheitlicher Verantwortlicher im Sinne von Artikel 4, Ziffer 7, DSGVO, kann aus Sicht des erkennenden Senates aufgrund der nachstehenden Erwägungen nicht gefolgt werden:

II.3.1.5. Das Recht auf Auskunft ist in Art. 15 DSGVO verankert. Inhaltlich räumt das Auskunftsrecht der betroffenen Person zunächst das Recht ein, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob ihre personenbezogenen Daten verarbeitet wurden. Liegen eine oder mehrere derartige Verarbeitungen vor, hat die betroffene Person einen Anspruch auf Auskunft über die personenbezogenen Daten sowie über weitere in Art. 15 Abs. 1 lit. a bis h leg. cit. definierte Informationen. Diese Informationen sind zu erteilen, damit der Zweck dieses Betroffenenrechtes erfüllt werden kann, nämlich der betroffenen Person einen Einblick in das „Ob und Wie“ der Verarbeitung ihrer personenbezogenen Daten zu ermöglichen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO [Stand 01.12.2020, rdb.at] Rz 2).römisch zwei.3.1.5. Das Recht auf Auskunft ist in Artikel 15, DSGVO verankert. Inhaltlich räumt das Auskunftsrecht der betroffenen Person zunächst das Recht ein, vom Verantwortlichen eine Bestätigung darüber zu verlangen, ob ihre personenbezogenen Daten verarbeitet wurden. Liegen eine oder mehrere derartige Verarbeitungen vor, hat die betroffene Person einen Anspruch auf Auskunft über die personenbezogenen Daten sowie über weitere in Artikel 15, Absatz eins, Litera a bis h leg. cit. definierte Informationen. Diese Informationen sind zu erteilen, damit der Zweck dieses Betroffenenrechtes erfüllt werden kann, nämlich der betroffenen Person einen Einblick in das „Ob und Wie“ der Verarbeitung ihrer personenbezogenen Daten zu ermöglichen (Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 15, DSGVO [Stand 01.12.2020, rdb.at] Rz 2).

Verarbeitet der Verantwortliche Daten der betroffenen Person, so hat er Auskunft über die konkreten Ausprägungen samt den Zusatzinformationen zu erteilen, sowie eine Kopie der Daten selbst auszuhändigen (Art. 15 Abs. 1 lit. a bis h, Abs. 2, 3 und 4; vgl. zur Tragweite des Auskunftsrechts zuletzt EuGH vom 04.05.2023, C- C?487/21, Rz 33ff, Haidinger in Knyrim, DatKomm Art. 15 DSGVO [Stand 01.12.2021, rdb.at] Rz 27; Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 15 DSGVO [Stand 01.12.2020, rdb.at] Rz 2, 14 ff).Verarbeitet der Verantwortliche Daten der betroffenen Person, so hat er Auskunft über die konkreten Ausprägungen samt den Zusatzinformationen zu erteilen, sowie eine Kopie der Daten selbst auszuhändigen (Artikel 15, Absatz eins, Litera a bis h, Absatz 2, 3 und 4; vergleiche zur Tragweite des Auskunftsrechts zuletzt EuGH vom 04.05.2023, C- C?487/21, Rz 33ff, Haidinger in Knyrim, DatKomm Artikel 15, DSGVO [Stand 01.12.2021, rdb.at] Rz 27; Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 15, DSGVO [Stand 01.12.2020, rdb.at] Rz 2, 14 ff).

Die Informationen müssen vollständig, richtig und aktuell sein und dem Stand der Datenverarbeitung zum Zeitpunkt des Eingangs des Antrags so weit wie möglich entsprechen (vgl. Guidelines 01/2022 on data subject rights - Right of access, version 1.0, adopted on 18 January 2022, Rz 34, https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf).Die Informationen müssen vollständig, richtig und aktuell sein und dem Stand der Datenverarbeitung zum Zeitpunkt des Eingangs des Antrags so weit wie möglich entsprechen vergleiche Guidelines 01 aus 2022, on data subject rights - Right of access, version 1.0, adopted on 18 January 2022, Rz 34, https://edpb.europa.eu/system/files/2022-01/edpb_guidelines_012022_right-of-access_0.pdf).

Es ist zudem auf Art. 12 Abs. 1 DSGVO zu verweisen, wonach der Verantwortliche geeignete Maßnahmen zu treffen hat, um der betroffenen Person alle Mitteilungen gemäß Artikel 15, die sich auf eine Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln. Es ist zudem auf Artikel 12, Absatz eins, DSGVO zu verweisen, wonach der Verantwortliche geeignete Maßnahmen zu treffen hat, um der betroffenen Person alle Mitteilungen gemäß Artikel 15, die sich auf eine Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.

Art. 12 Abs. 1 DSGVO stellt somit allgemeine Anforderungen an die Art und Weise der Erteilung von Informationen und Mitteilungen auf (vgl dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 12 DSGVO, Rz 2 (Stand 1.12.2020, rdb.at)). Artikel 12, Absatz eins, DSGVO stellt somit allgemeine Anforderungen an die Art und Weise der Erteilung von Informationen und Mitteilungen auf vergleiche dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 12, DSGVO, Rz 2 (Stand 1.12.2020, rdb.at)).

Eine Information ist dann präzise, wenn sie »einen hinreichenden Grad an Genauigkeit und Abgrenzungsschärfe (Eindeutigkeit) besitzt (vgl dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 12 DSGVO, Rz 3 (Stand 1.12.2020, rdb.at)).Eine Information ist dann präzise, wenn sie »einen hinreichenden Grad an Genauigkeit und Abgrenzungsschärfe (Eindeutigkeit) besitzt vergleiche dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 12, DSGVO, Rz 3 (Stand 1.12.2020, rdb.at)).

Unter Transparenz wird die Nachvollziehbarkeit der Information verstanden. Nach ErwGr 39 soll für natürliche Personen Transparenz dahingehend bestehen, »dass sie betreffende personenbezogene Daten erhoben, verwendet, eingesehen oder anderweitig verarbeitet werden und in welchem Umfang die personenbezogenen Daten verarbeitet werden und künftig noch verarbeitet werden«.

Zum Kriterium der Verständlichkeit ist zunächst auf die Erforderlichkeit, die Informationen bzw Mitteilungen (jedenfalls) in der Verkehrssprache des jeweiligen Landes zu erteilen, abzustellen. Bei längeren Texten ist auch eine sinnvolle Ordnung und Untergliederung erforderlich. Die Informationen sind zudem in leicht verständlicher Weise und in Alltagssprache zu formulieren (vgl dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 12 DSGVO, Rz 4 (Stand 1.12.2020, rdb.at)).Zum Kriterium der Verständlichkeit ist zunächst auf die Erforderlichkeit, die Informationen bzw Mitteilungen (jedenfalls) in der Verkehrssprache des jeweiligen Landes zu erteilen, abzustellen. Bei längeren Texten ist auch eine sinnvolle Ordnung und Untergliederung erforderlich. Die Informationen sind zudem in leicht verständlicher Weise und in Alltagssprache zu formulieren vergleiche dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 12, DSGVO, Rz 4 (Stand 1.12.2020, rdb.at)).

Neben dem Stil der Informationserteilung regelt Art 12 Abs 1 Satz 1 auch, dass die Informationen in einer klaren und einfachen Sprache formuliert sein müssen. Nach dem allgemeinen Sprachgebrauch ist die Sprache klar, wenn sie »deutlich, genau, erkennbar, unterscheidbar« ist. Darunter sind Präzision und Verständlichkeit sowie Prägnanz und die Vermeidung ausschweifender Formulierungen zu verstehen. Einfachheit erfordert, dass die Sprache »leicht verständlich, einleuchtend, eindeutig« ist. Dies ist im Hinblick auf den (zu erwartenden) Empfängerhorizont zu prüfen. Insbesondere bei Informationen an Kinder sind hohe Anforderungen an die Verständlichkeit zu stellen. Zudem wird aus diesem Halbsatz deutlich, dass ansonsten auf den zu erwarteten Empfängerhorizont abgestellt werden kann. Aus dem Zusammenhang mit Halbsatz 1 ist zu schließen, dass sich hier das Wort Informationen auf alle aktiven Informationspflichten (Art 13, 14 und 34) sowie auf alle diejenigen Informationspflichten bezieht, die idR einen Antrag voraussetzen (Art 15–22), (vgl dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 12 DSGVO, Rz 5 (Stand 1.12.2020, rdb.at)).Neben dem Stil der Informationserteilung regelt Artikel 12, Absatz eins, Satz 1 auch, dass die Informationen in einer klaren und einfachen Sprache formuliert sein müssen. Nach dem allgemeinen Sprachgebrauch ist die Sprache klar, wenn sie »deutlich, genau, erkennbar, unterscheidbar« ist. Darunter sind Präzision und Verständlichkeit sowie Prägnanz und die Vermeidung ausschweifender Formulierungen zu verstehen. Einfachheit erfordert, dass die Sprache »leicht verständlich, einleuchtend, eindeutig« ist. Dies ist im Hinblick auf den (zu erwartenden) Empfängerhorizont zu prüfen. Insbesondere bei Informationen an Kinder sind hohe Anforderungen an die Verständlichkeit zu stellen. Zudem wird aus diesem Halbsatz deutlich, dass ansonsten auf den zu erwarteten Empfängerhorizont abgestellt werden kann. Aus dem Zusammenhang mit Halbsatz 1 ist zu schließen, dass sich hier das Wort Informationen auf alle aktiven Informationspflichten (Artikel 13, 14 und 34) sowie auf alle diejenigen Informationspflichten bezieht, die idR einen Antrag voraussetzen (Artikel 15 –, 22,), vergleiche dazu Jahnel, Kommentar zur Datenschutz-Grundverordnung Artikel 12, DSGVO, Rz 5 (Stand 1.12.2020, rdb.at)).

II.3.1.6. Wie festgestellt, stellte die mitbeteiligte Partei durch ihren Anwalt ein Auskunftsersuchen gemäß Art 15 Abs. 1 DSGVO, welches die Verarbeitungszwecke, die Empfänger beziehungsweise Kategorien von Empfängern, die Speicherdauer sowie eine Information über die Herkunft der Daten enthielt. Die mitbeteiligte Partei hat im gegenständlichen Fall schon bei der Antragstellung eine Präzisierung vorgenommen und ihr Auskunftsbegehren auf das „Dossier“ vom 21.09.2019 beschränkt und dieses jeweils an die Universität sowie die einzelnen Universitätsorgane gerichtet. römisch zwei.3.1.6. Wie festgestellt, stellte die mitbeteiligte Partei durch ihren Anwalt ein Auskunftsersuchen gemäß Artikel 15, Absatz eins, DSGVO, welches die Verarbeitungszwecke, die Empfänger beziehungsweise Kategorien von Empfängern, die Speicherdauer sowie eine Information über die Herkunft der Daten enthielt. Die mitbeteiligte Partei hat im gegenständlichen Fall schon bei der Antragstellung eine Präzisierung vorgenommen und ihr Auskunftsbegehren auf das „Dossier“ vom 21.09.2019 beschränkt und dieses jeweils an die Universität sowie die einzelnen Universitätsorgane gerichtet.

Unstrittig war, dass im vorliegenden Fall personenbezogene Daten der mitbeteiligten Partei verarbeitet wurden; dies ergibt sich schon aus dem Schreiben der Beschwerdeführerin vom 08.11.2021, wonach personenbezogene Daten der mitbeteiligten Partei im „Dossier“ enthalten waren und teilweise weiterverarbeitet wurden.

Wie bereits die belangte Behörde im angefochtenen Bescheid zutreffend festgestellt hat, geht aus der gemeinsamen Auskunft der Beschwerdeführerin sowie des Rektors der XXXX , des Rektorates der XXXX und des Universitätsrates der XXXX nicht hervor, welches Organ der Beschwerdeführerin welche Daten verarbeitet beziehungsweise welche Daten die Beschwerdeführerin als juristische Person des öffentlichen Rechts verarbeitet hat. Die erteilte Auskunft entspricht damit nicht dem Genauigkeitsgebot und ist weder transparent noch verständlich im Sinne von Art. 12 Abs. 1 DSGVO.Wie bereits die belangte Behörde im angefochtenen Bescheid zutreffend festgestellt hat, geht aus der gemeinsamen Auskunft der Beschwerdeführerin sowie des Rektors der römisch 40 , des Rektorates der römisch 40 und des Universitätsrates der römisch 40 nicht hervor, welches Organ der Beschwerdeführerin welche Daten verarbeitet beziehungsweise welche Daten die Beschwerdeführerin als juristische Person des öffentlichen Rechts verarbeitet hat. Die erteilte Auskunft entspricht damit nicht dem Genauigkeitsgebot und ist weder transparent noch verständlich im Sinne von Artikel 12, Absatz eins, DSGVO.

Aufgrund des Umstandes, dass vollkommen unklar blieb, welches Organ welche Daten verarbeitet hat, lässt sich weder für die mitbeteiligte Partei noch für einen außenstehenden durchschnittlichen Erklärungsempfänger erkennen, welche personenbezogenen Daten der mitbeteiligten Partei konkret von der Beschwerdeführerin verarbeitet wurden.

Es war der Datenschutzbehörde daher beizupflichten, wenn diese zum Ergebnis gelangte, dass keine transparente oder verständliche, dem Art. 15 Abs. 1 DSGVO entsprechende, Auskunft im Hinblick auf die von der mitbeteiligten Partei geforderten Informationen erteilt wurde. Es war der Datenschutzbehörde daher beizupflichten, wenn diese zum Ergebnis gelangte, dass keine transparente oder verständliche, dem Artikel 15, Absatz eins, DSGVO entsprechende, Auskunft im Hinblick auf die von der mitbeteiligten Partei geforderten Informationen erteilt wurde.

II.3.1.7. Wenn die Beschwerdeführerin in ihrer Stellungnahme vom 08.11.2021 die Auffassung vertritt, die Verpflichtungen und Anforderungen aus der DSGVO fielen in die alleinige Zuständigkeit des Rektorats, zumal Universitätsrat und Senat diese Aufgaben nicht selbständig im eigenen Wirkungsbereich erfüllen könnten, da ihnen Zuständigkeiten und Ressourcen fehlten und dies nicht zweckmäßig erschiene, so vermag dies an der eigenständigen datenschutzrechtlichen Verantwortlichkeit der Organe, wie oben näher dargestellt, nichts ändern. römisch zwei.3.1.7. Wenn die Beschwerdeführerin in ihrer Stellungnahme vom 08.11.2021 die Auffassung vertritt, die Verpflichtungen und Anforderungen aus der DSGVO fielen in die alleinige Zuständigkeit des Rektorats, zumal Universitätsrat und Senat diese Aufgaben nicht selbständig im eigenen Wirkungsbereich erfüllen könnten, da ihnen Zuständigkeiten und Ressourcen fehlten und dies nicht zweckmäßig erschiene, so vermag dies an der eigenständigen datenschutzrechtlichen Verantwortlichkeit der Organe, wie oben näher dargestellt, nichts ändern.

Selbiges gilt für die Ausführungen in der Stellungnahme der Beschwerdeführerin vom 02.09.2022, wonach die Auskunft klar gegliedert und in verständlicher Ausdrucksweise erfolgt sei. Wie unter II.3.1.4. ausführlich begründet, sind die Organe der Beschwerdeführerin jeweils als datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Abs. 7 DSGVO anzusehen und daher verpflichtet, einem Auskunftsbegehren nachzukommen. Dadurch, dass bis dato unklar blieb, welche Daten durch welches Organ verarbeitet wurden, konnte nicht von einer Art. 15 Abs. 1 DSGVO entsprechenden Auskunft ausgegangen werden. Selbiges gilt für die Ausführungen in der Stellungnahme der Beschwerdeführerin vom 02.09.2022, wonach die Auskunft klar gegliedert und in verständlicher Ausdrucksweise erfolgt sei. Wie unter römisch zwei.3.1.4. ausführlich begründet, sind die Organe der Beschwerdeführerin jeweils als datenschutzrechtlich Verantwortliche im Sinne von Artikel 4, Absatz 7, DSGVO anzusehen und daher verpflichtet, einem Auskunftsbegehren nachzukommen. Dadurch, dass bis dato unklar blieb, welche Daten durch welches Organ verarbeitet wurden, konnte nicht von einer Artikel 15, Absatz eins, DSGVO entsprechenden Auskunft ausgegangen werden.

Wenn in der Stellungnahme vom 02.09.2022 seitens der Beschwerdeführerin zudem argumentiert wird, die personenbezogenen Daten des Mitbeteiligten seien seitens der Innenrevision in zulässiger Weise verarbeitet worden, was dem Mitbeteiligten aus dessen vormaligen Tätigkeit als Vizerektor hinlänglich bekannt sein müsse, lässt sich daraus für die Beschwerdeführerin ebenfalls nichts gewinnen.

Gleiches gilt für das in der Beschwerde vom 23.02.2023 angeführte Argument, es handle sich beim Mitbeteiligten um einen ehemaligen (langjährigen) Vizerektor der XXXX , dem die verschiedenen Organe und deren gesetzlichen Aufgaben nach dem Universitätsgesetz bestens vertraut sein müssten. Gleiches gilt für das in der Beschwerde vom 23.02.2023 angeführte Argument, es handle sich beim Mitbeteiligten um einen ehemaligen (langjährigen) Vizerektor der römisch 40 , dem die verschiedenen Organe und deren gesetzlichen Aufgaben nach dem Universitätsgesetz bestens vertraut sein müssten.

Auch kann aus dem Umstand, dass die Verarbeitung von personenbezogenen Daten durch Leitungsorgane und weisungsfreie Kollegialorgane der XXXX zu Zwecken erfolgt, die aus Sicht der Universität gemäß Art. 4 Z 7 DSGVO der Verantwortlichkeit der Universität zuzurechnen seien – entgegen der in der Beschwerde vertretenen Rechtsauffassung – nicht abgeleitet werden, dass eine einheitliche Verantwortlichkeit gegeben ist. Auch kann aus dem Umstand, dass die Verarbeitung von personenbezogenen Daten durch Leitungsorgane und weisungsfreie Kollegialorgane der römisch 40 zu Zwecken erfolgt, die aus Sicht der Universität gemäß Artikel 4, Ziffer 7, DSGVO der Verantwortlichkeit der Universität zuzurechnen seien – entgegen der in der Beschwerde vertretenen Rechtsauffassung – nicht abgeleitet werden, dass eine einheitliche Verantwortlichkeit gegeben ist.

II.3.1.8. Die Beschwerde war daher insgesamt als unbegründet abzuweisen. römisch zwei.3.1.8. Die Beschwerde war daher insgesamt als unbegründet abzuweisen.

II.3.2. Zum Entfall einer mündlichen Verhandlung:römisch zwei.3.2. Zum Entfall einer mündlichen Verhandlung:

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.Gemäß Paragraph 24, Absatz eins, VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 EMRK noch Art. 47 GRC entgegenstehen.Gemäß Paragraph 24, Absatz 4, VwGVG kann – soweit durch Bundes- oder Landesgesetz nicht anderes bestimmt ist – das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Artikel 6, Absatz eins, EMRK noch Artikel 47, GRC entgegenstehen.

Im gegenständlichen Fall war der Sachverhalt aus der Aktenlage geklärt. Die Heranziehung weiterer Beweismittel war zur Klärung des Sachverhaltes nicht notwendig.

Das Bundesverwaltungsgericht hatte vorliegend ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.); diese bestand in der rechtlichen Beurteilung der Verantwortlichkeit der Organe der Beschwerdeführerin sowie der Transparenz und Verständlichkeit der erteilten Auskunft im Sinne von Art. 15 Abs. 1 DSGVO. Das Bundesverwaltungsgericht hatte vorliegend ausschließlich über eine Rechtsfrage zu erkennen vergleiche EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34 ff.); diese bestand in der rechtlichen Beurteilung der Verantwortlichkeit der Organe der Beschwerdeführerin sowie der Transparenz und Verständlichkeit der erteilten Auskunft im Sinne von Artikel 15, Absatz eins, DSGVO.

Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12). Auch nach der Rechtsprechung des Verfassungsgerichtshofes kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597 aus 2005,; VfSlg. 17.855 aus 2006,; zuletzt etwa VfGH 18.06.2012, B 155/12).

Die Durchführung einer mündlichen Verhandlung war fallbezogen daher nicht erforderlich.

II.3.3. Zu Spruchpunkt B) – Unzulässigkeit der Revision:römisch zwei.3.3. Zu Spruchpunkt B) – Unzulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.Gemäß Paragraph 25 a, Absatz eins, VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Artikel 133, Absatz 4, B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinausgehende – Bedeutung zukommt.Die Revision ist gemäß Artikel 133, Absatz 4, B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche – über den Anlassfall hinausgehende – Bedeutung zukommt.

Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt keine Rechtsfrage von grundsätzlicher Bedeutung iSd Art 133 Abs. 4 B-VG vor, und zwar selbst dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen ist (VwGH 11. 9. 2020, Ra 2018/04/0157). Ist die Rechtslage nach den in Betracht kommenden Normen klar und eindeutig, dann liegt keine Rechtsfrage von grundsätzlicher Bedeutung iSd Artikel 133, Absatz 4, B-VG vor, und zwar selbst dann, wenn zu einer anzuwendenden Norm noch keine Rechtsprechung des VwGH ergangen ist (VwGH 11. 9. 2020, Ra 2018/04/0157).

Wie oben dargestellt, wird die Rolle des datenschutzrechtlich Verantwortlichen von Art. 4 Z 7 DSGVO klar und eindeutig geregelt; Art. 12 Abs. 1 DSGVO legt klar und eindeutig fest, welche Anforderungen an die Art und Weise der Erteilung einer Auskunft gestellt werden. Wie oben dargestellt, wird die Rolle des datenschutzrechtlich Verantwortlichen von Artikel 4, Ziffer 7, DSGVO klar und eindeutig geregelt; Artikel 12, Absatz eins, DSGVO legt klar und eindeutig fest, welche Anforderungen an die Art und Weise der Erteilung einer Auskunft gestellt werden.

Es war daher spruchgemäß zu entscheiden.

Schlagworte

Auskunfterteilung Auskunftsbegehren Auskunftsrecht Datenherkunft Datenschutz Datenschutzbeschwerde Datenschutzverfahren Datenverarbeitung Datenverarbeitungszweck Empfänger juristische Person personenbezogene Daten Rektorat Senat Speicherdauer Transparenz Universität Universitätsrat Verantwortlicher

European Case Law Identifier (ECLI)

ECLI:AT:BVWG:2023:W292.2268628.1.00

Im RIS seit

12.12.2023

Zuletzt aktualisiert am

12.12.2023

Quelle: Bundesverwaltungsgericht BVwg, https://www.bvwg.gv.at

merken

Zurück Haftungsausschluss Vernetzungsmöglichkeiten

Sofortabfrage ohne Anmeldung!

Jetzt Abfrage starten