W137 2333649-1 – BVwG Entscheidung

W137 2333649-1/11E

IM NAMEN DER REPUBLIK!

Das Bundesverwaltungsgericht hat durch den Richter Mag. Peter HAMMER als Vorsitzender und die fachkundigen Laienrichterinnen Mag. Ursula ILLIBAUER sowie Mag. Martina CHLESTIL als Beisitzerinnen über die Beschwerde von XXXX gegen den Bescheid der Datenschutzbehörde vom 24.11.2025, GZ. D124.0658/24, 2024-0.835.856, zu Recht erkannt:

A)

I. Die Beschwerde wird gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG idgF als unbegründet abgewiesen.

II. Die übrigen Anträge werden als unzulässig zurückgewiesen.

B)

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.

Entscheidungsgründe:

I. Verfahrensgang:

1. Mit verfahrensleitender Eingabe vom 29.02.2024, verbessert mit Schriftsatz vom 06.06.2024, erhob XXXX (= Beschwerdeführer vor dem Bundesverwaltungsgericht und Antragsteller vor der Datenschutzbehörde) eine Datenschutzbeschwerde gegen die XXXX (= erstmitbeteiligte Partei vor dem Bundesverwaltungsgericht und Erstbeschwerdegegnerin vor der Datenschutzbehörde) sowie die XXXX (= zweitmitbeteiligte Partei vor dem Bundesverwaltungsgericht und Zweitbeschwerdegegnerin vor der Datenschutzbehörde) wegen einer behaupteten Verletzung im Recht auf Löschung. Begründend wurde im Wesentlichen ausgeführt, der Beschwerdeführer habe am 13.01.2024 per E-Mail seine Bewerbungsunterlagen samt personenbezogenen Daten an die erstmitbeteiligte Partei übermittelt. Dabei habe er der erstmitbeteiligten Partei ausdrücklich erklärt, dass die Verwendung seine Bewerbungsunterlagen (personenbezogenen Daten) nur zum Zweck der Bewerbung erlaubt wären, sie nicht für den Zweck der Verteidigung von Rechtsansprüchen verarbeitet werden dürften und dass sie mit Abschluss des Bewerbungsprozesses sofort zu löschen wären. Allerdings sei ihm von der erstmitbeteiligten Partei mit der Absage mitgeteilt worden, dass seine personenbezogenen Daten auf Basis von Art. 6 Abs. 1 lit. f DSGVO für weitere sieben Monate gespeichert und demnach verarbeitet werden würden.

Darüber hinaus habe er von der zweitmitbeteiligten Partei ein Schreiben im Namen der erstmitbeteiligten Partei erhalten, woraus sich ergebe, dass die erstmitbeteiligte Partei gegen seinen ausdrücklichen Willen seine personenbezogenen Daten (zumindest seine E-Mail-Adresse und seinen Namen) an einen Dritten weitergegeben habe und die zweitmitbeteiligte Partei in weiterer Folge seine Daten unrechtmäßig gespeichert habe.

Obwohl der Beschwerdeführer seine personenbezogenen Daten ausdrücklich nur zwecks der Bewerbung übermittelt habe, seien diese sowohl von der erst- als auch von der zweitmitbeteiligten Partei entgegen des Grundsatzes des Art. 5 Abs. 1 lit. b DSGVO zweckwidrig verarbeitet und trotz seiner Aufforderung nicht gelöscht worden.

Aus diesen Gründen sei er somit in seinem Recht auf Löschung gemäß Art. 17 Abs. 1 lit. d DSGVO verletzt worden.

2. Die zweitmitbeteiligte Partei gab mit Stellungnahme vom 13.09.2024 im Wesentlichen und soweit verfahrensrelevant an, die personenbezogenen Daten des Beschwerdeführers würden von den mitbeteiligten Parteien rechtmäßig verarbeitet werden. Diese seien zunächst auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO von der erstmitbeteiligten Partei zum Zweck der Bearbeitung der Bewerbung auf vorvertraglicher Grundlage verarbeitet worden. Die Bewerbungsunterlagen (Lebenslauf) seien sodann für die Dauer von sieben Monaten ab der Absage der Bewerbung zum Zweck der Abwehr von Rechtsansprüchen aus dem Gleichbehandlungsgesetz verarbeitet worden (Art. 6 Abs. 1 lit. f DSGVO iVm § 17 Abs. 1 Z 1 iVm § 26 Abs. 1 und § 29 Abs. 1 GlBG). Der Lebenslauf sei zwischenzeitlich gelöscht worden.

Die übrige Korrespondenz in Zusammenhang mit der Bewerbung, insbesondere der Anhang des Beschwerdeführers „WICHTIG - bitte lesen!“, werde zur Wahrung des berechtigten Interesses der erstmitbeteiligten Partei an der Abwehr von Rechtsansprüchen und der Verteidigung im gegenständlichen Verfahren wegen behaupteter Datenschutzverstöße verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Die Verarbeitung werde zumindest für die Dauer des gegenständlichen Verfahrens erforderlich sein, wobei sich der endgültige Ablauf der Speicherfrist nach dem Ausgang des gegenständlichen Verfahrens richte.

Die zweitmitbeteiligte Partei habe die personenbezogenen Daten des Beschwerdeführers (nicht jedoch den Lebenslauf) zum Zweck der Beantwortung und Unterstützung der Beantwortung der Löschanfrage erhalten. Die erstmitbeteiligte Partei habe diese Daten daher auf Basis ihres berechtigten Interesses an die zweitmitbeteiligte Partei übermitteln können. Die zweitmitbeteiligte Partei verarbeite nunmehr die Daten zur Wahrung des berechtigten Interesses beider mitbeteiligten Parteien an der Abwehr unberechtigter Ansprüche im Rahmen des vorliegenden Verfahrens vor der Datenschutzbehörde. Eine Datenverarbeitung sei darüber hinaus durch die zweitmitbeteiligte Partei bereits deshalb zulässig gewesen, weil sie in ihrer Rolle als externe Datenschutzbeauftragte gehandelt habe.

3. Mit Bescheid vom 24.11.2025, GZ. D124.0658/24, 2024-0.835.856, wies die Datenschutzbehörde die Datenschutzbeschwerde vom 29.02.2024 ab.

In diesem Bescheid traf die Datenschutzbehörde im Wesentlichen folgende Sachverhaltsfeststellungen:

Der Beschwerdeführer habe sich am 13.01.2024 bei der erstmitbeteiligten Partei als IT-Systemadministrator über die Seite www.karriere.at beworben. Der Bewerbung des Beschwerdeführers seien neben dem Lebenslauf weitere Schriftsätze, insbesondere Erklärungen betreffend die Verwendung seiner personenbezogenen Daten, beigelegt worden.

Die erstmitbeteiligte Partei habe den Beschwerdeführer am 24.01.2024 darüber benachrichtigt, dass die Stelle bereits anderwärtig besetzt worden sei und habe ihn über den Zweck und die Dauer der Datenverarbeitung informiert.

Nach einem Schreiben des Beschwerdeführers vom 24.01.2024 habe die erstmitbeteiligte Partei die zweitmitbeteiligte Partei mit der Beantwortung des Schreibens des Beschwerdeführers beauftragt.

Bis zum Schreiben vom 24.01.2024 habe die erstmitbeteiligte Partei die Bewerbungsunterlagen des Beschwerdeführers verwendet, um die Bewerbung des Beschwerdeführers zu prüfen. Der Lebenslauf des Beschwerdeführers sei von der erstmitbeteiligten Partei für die Dauer von sieben Monaten ab der Absage der Bewerbung am 24.01.2024 gespeichert und sodann gelöscht worden. Der Lebenslauf sei von der erstmitbeteiligten Partei und die sonstigen Unterlagen des Beschwerdeführers würden von beiden mitbeteiligten Parteien aufbewahrt werden, um allenfalls vom Beschwerdeführer geltend gemachte Rechtsansprüche abzuwehren.

Auf der Grundlage dieser Sachverhaltsfeststellungen folgerte die belangte Behörde in rechtlicher Hinsicht im Wesentlichen Folgendes:

Zur erstmitbeteiligten Partei:

Die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen würden ein berechtigtes Interesse darstellen, dies insbesondere im gegenständlichen Fall, da der Beschwerdeführer allfällige rechtliche Schritte angekündigt hat. Die Verarbeitung ist auch zur Abwehr der vom Beschwerdeführer geltend gemachten Ansprüche erforderlich. Ein besonders schwerer Eingriff in die Rechte des Beschwerdeführers sei nicht erkennbar. Demgegenüber stehe das Interesse der erstmitbeteiligten Partei, geltend gemachte Ansprüche des Beschwerdeführers abzuwehren, welche dieser bereits in seiner Bewerbung ankündigt habe. Damit würden gegenständlich die Interessen der mitbeteiligten Partei gegenüber den Interessen des Beschwerdeführers überwiegen.

Da die Datenverarbeitung rechtmäßig iSd Art. 6 Abs. 1 DSGVO iVm Art. 5 Abs. 1 lit. a DSGVO gewesen sei, bestehe keine Löschungsverpflichtung nach Art. 17 Abs. 1 lit. d DSGVO, wonach personenbezogene Daten bei unrechtmäßiger Verarbeitung zu löschen seien.

Auch seien die Löschungspflichten nach Art. 17 Abs. 1 lit a, b, c, e und f DSGVO nicht einschlägig. Somit seien die personenbezogenen Daten des Beschwerdeführers von der erstmitbeteiligten Partei nicht zu löschen, da keine Löschungspflichten nach Art. 17 Abs. 1 lit. a bis f DSGVO bestehe und im Übrigen Art. 17 Abs. 1 DSGVO nicht gelte, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sei.

Zur zweitmitbeteiligten Partei:

Die zweitmitbeteiligte Partei habe die personenbezogenen Daten des Beschwerdeführers entsprechend den Ausführungen zur erstmitbeteiligten Partei rechtmäßig von der erstmitbeteiligten Partei erhalten und verarbeite diese ebenso rechtmäßig im Interesse der erstmitbeteiligten Partei nach Art. 6 Abs. 1 lit. f DSGVO. Hinzu komme bei der zweitmitbeteiligten Partei das Interesse, ihren Vertrag mit der erstmitbeteiligten Partei zu erfüllen.

Zusammengefasst seien die personenbezogenen Daten des Beschwerdeführers auch von der zweitmitbeteiligten Partei nicht zu löschen, da keine Löschungspflicht nach Art. 17 Abs. 1 lit. a bis f DSGVO bestehe und im Übrigen Art. 17 Abs. 1 DSGVO nicht gelte, soweit die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sei.

4. In der gegen diesen Bescheid fristgerecht erhobenen Beschwerde im Umfang von über 300 Seiten (samt Zusatz Copyright © 2025 XXXX All Rights Reserved Worldwide) brachte der Beschwerdeführer im Wesentlichen vor:

Er begehre zunächst, dass das Bundesverwaltungsgericht abkläre, ob der zuständige Sachbearbeiter der Datenschutzbehörde möglicherweise für die zweitmitbeteiligte Partei arbeite und in diesem Zusammenhang ein Interessenskonflikt vorliege.

Hinsichtlich der Löschungspflicht werde vorgebracht, dass eine Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten über den Bewerbungsprozess hinaus nie vorgelegen habe. So seien die Daten von der zweitmitbeteiligten Partei nicht nur zu löschen, sondern die erstmitbeteiligte Partei habe nie das Recht gehabt, die Daten generell und erst recht nicht nach Abschluss des Bewerbungsprozesses weiterzugeben, denn er habe die anzuwendenden Datenschutzbestimmungen in seinem Schriftsatz „WICHTIG – Bitte lesen!“ exakt vorgegeben und die erstmitbeteiligte Partei habe diesen durch die Verarbeitung implizit zugestimmt.

Die mitbeteiligten Parteien hätten nicht nur kein Recht gehabt, seinen Lebenslauf für sieben Monate über den Bewerbungsprozess hinaus zu speichern, sondern es liege bis dato auch kein Nachweis für die Löschung nach sieben Monaten vor. Ebenso liege kein Beweis vor, dass die Daten überhaupt nach Vorgabe und Einwilligung des Beschwerdeführers, auch während der Verarbeitung im Bewerbungsprozess korrekt verarbeitet worden wären. Da es bereits vormals andere Pflichtverletzungen wie die Verletzung der Informationspflicht seitens der erstmitbeteiligten Partei bei Erhebung der Daten (im Jobangebot) gegeben habe und darüber hinaus eine reine Löschung des Lebenslaufs allein nach sieben Monaten, auch aus E-Mails des Beschwerdeführers, möglicherweise gar nicht möglich sei, ohne die gesamten E-Mails und alle Daten zu löschen, könnten hier möglicherweise noch weitere Verstöße vorliegen. Dies sei aber für den Beschwerdeführer nicht nachvollziehbar, da dieser keinen Einblick in den Verarbeitungsprozess und die Speicherung bei den mitbeteiligten Parteien habe. Es sei offensichtlich, dass immer noch datenschutzrechtliche Verstöße vorliegen würden.

Der Beschwerdeführer habe eindeutig jeder Form der Weiterverarbeitung und Speicherung der Daten nach Abschluss des Bewerbungsprozesses untersagt und die erstmitbeteiligte Partei habe seinen Bedingungen und dem damit „rechtsverbindlichen Vertrag“ für die Verarbeitung seiner Daten ab 13.01.2024 und vor dem 24.01.2024 nie widersprochen. Mit dem Vertrag von 13.01.2024 und der widerspruchslosen, begonnenen und abgeschlossenen Verarbeitung für den Bewerbungszweck habe der Beschwerdeführer laut Art. 5 Abs. 1 lit. a DSGVO das Recht, davon auszugehen, dass die Daten des Beschwerdeführers exakt nach seinen am 13.01.2024 (in seinem der Bewerbung beigelegten Schreiben) definierten Vorgaben verarbeitet werden und somit unmittelbar nach Abschluss des Bewerbungsprozesses, spätestens mit der Absage für die Bewerbung und Stelle ausnahmslos und vollständig gelöscht werden würden.

Aus diesen Gründen sei der angefochtene Bescheid rechtswidrig und die mitbeteiligten Parteien seien verpflichtet, die personenbezogenen Daten des Beschwerdeführers unverzüglich zu löschen.

Der Beschwerdeführer stellte sohin die (mit Belehrungen und Anweisungen verbundenen) Anträge, das Bundesverwaltungsgericht möge

1. dafür Sorge tragen, dass das gegenständliche Verfahren den Gesetzen entsprechend möglichst schnell und unter Vermeidung von Belastungen jeglicher Art für den Beschwerdeführer abgeschlossen werde;

2. die genannten Probleme prüfen und entsprechend der Gesetzeslage lösen;

3. die Daten sowie die Gesetzeslage ordentlich und vollständig sichten und prüfen, wobei der Beschwerdeführer ausführlich auf Erfahrungen aus anderen Rechtsbereichen in der Zuständigkeit des BVwG verwies;

4. vor einer endgültigen Entscheidung die Implikationen der Entscheidung und Auslegung der gesetzlichen Bestimmungen durch das Gericht prüfen;

5. dafür Sorge tragen, dass die etwaige Löschung der Daten unverzüglich veranlasst und umgesetzt werde;

6. dafür Sorge tragen, dass unnötig verursachte Schäden (explizit angeführt: die Eingabegebühr und ein dreiwöchiger Arbeitsaufwand zur Abfassung der gegenständlichen Beschwerde) für den Beschwerdeführer umgehend und vollständig behoben werden;

7. eine Untersuchung im Zusammenhang mit den bisherigen Verfahrensfehlern der Datenschutzbehörde einleiten und dabei welche die Abläufe sowie die Sprüche der Bescheide und deren Rechtmäßigkeit sowie die (insbesondere im gegenständlichen Verfahren aktiven Sachbearbeiter umfasst und

8. dafür Sorge tragen, dass solche Fehler zukünftig nicht mehr vorkommen.

5. Mit Schreiben der Datenschutzbehörde vom 27.01.2026 (hg eingelangt am selben Tag) wurde die Beschwerde samt Verwaltungsakt an das Bundesverwaltungsgericht übermittelt. Darin wurde im Wesentlichen auf den Bescheid verwiesen und die Abweisung der Beschwerde beantragt.

6. Mit Schriftsatz vom 25.02.2026 ermahnte das Bundesverwaltungsgericht den Beschwerdeführer aufgrund seiner mehrfach und wiederholt gegenüber der Datenschutzbehörde und den Beschwerdegegnern beleidigenden Ausführungen in der Bescheidbeschwerde, dass im Falle der Wiederholung einer derartigen beleidigenden Schreibweise eine Ordnungsstrafe nach § 34 AVG verhängt werden müsste.

7. Mit Stellungnahme (nach Beschwerdemitteilung) vom 11.03.2026 führte die zweitmitbeteiligte Partei (als rechtlicher Vertreter der erstmitbeteiligten Partei) im Wesentlichen aus, dass die Weiterverarbeitung der Daten des Beschwerdeführers auch nach Abschluss des Bewerbungsverfahrens erforderlich gewesen sei, da der Beschwerdeführer bereits in seinem Bewerbungsschreiben angekündigt habe, allenfalls diverse rechtliche Schritte geltend zu machen. Der Schreibstil, der Umfang sowie die Ausführungen des Beschwerdeführers in ihrer Gesamtheit habe den Eindruck erweckt, dass er nach Absage der ausgeschriebenen Stelle gegen die erstmitbeteiligte Partei rechtlich vorgehen werde. Daher liege im vorliegenden Fall – wie von der Datenschutzbehörde bereits ausgeführt – ein berechtigtes Interesse der erstmitbeteiligten Partei gemäß Art. 6 Abs. 1 lit. f DSGVO vor. Außerdem handle es sich bei der Aufbewahrung von Daten nicht bloß um eine Ausnahme von der Löschpflicht gemäß Art. 17 Abs. 3 lit. b oder e DSGVO, sondern um eine eigenständige Verarbeitung mit eigenständigem Zweck auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Zur Datenverarbeitung im Zusammenhang mit den Bewerbungsunterlagen sei zu erwähnen, dass sämtliche Verarbeitungsschritte, die für die Durchführung eines Bewerbungsverfahrens erforderlich seien, als vorvertragliche Maßnahmen unter Art. 6 Abs. 1 lit. b DSGVO fallen würden.

II. Das Bundesverwaltungsgericht hat erwogen:

1. Feststellungen:

1.1. Die erstmitbeteiligte Partei ist eine Forschungsgesellschaft, die auf der Internetseite www.karriere.at eine Stellenanzeige inseriert hatte. Diese Seite, die als Bewerbungsportal gestaltet ist, enthält bereits eine ausführliche Datenschutzerklärung sowie den Hinweis auf die einschlägige Weiterverarbeitung durch potenzielle Arbeitgeber in Bewerbungsverfahren gemäß den einschlägigen gesetzlichen Bestimmungen.

1.2. Bei der zweitmitbeteiligten Partei handelt es sich um eine Rechtsanwaltskanzlei in der Form einer GmbH, welche die erstmitbeteiligte Partei im in Rede stehenden Bewerbungsverfahren rechtlich unterstützt und im gegenständlichen Verfahren zunächst rechtlich vertreten hat. Die zweitmitbeteiligte Partei wurde in Reaktion auf das Schreiben des Beschwerdeführers vom 24.01.2024 von der erstmitbeteiligten Partei noch am selben Tag mit der Beantwortung dieses Schreibens beauftragt.

1.3. Am 13.01.2024 hatte sich der Beschwerdeführer um die Stelle eines IT-Systemadministrators bei der erstmitbeteiligten Partei beworben, wobei er die erstmitbeteiligte Partei direkt anschrieb. Dabei wurden neben dem Lebenslauf drei Schriftsätze „WICHTIG – BITTE lesen!“, „Erklärung“ und „COVID-Angaben“ beigelegt. Darin betonte der Beschwerdeführer insbesondere, dass er seine Einwilligung für die Verarbeitung seiner personenbezogenen Daten ausschließlich für das Bewerbungsverfahren erteile und einer jeglichen darüber hinausgehenden Verarbeitung seiner personenbezogenen Daten widerspreche. Seine Angaben seien zudem als „intellectual property“ zu betrachten, die Bewerbung unterliege Urheberrecht und Copyright und eine Weiterverarbeitung oder Anfertigung von Kopien stelle eine „vorsätzliche Straftat“ dar. Mit seinen hier getätigten Angaben – hielt der Beschwerdeführer im Schriftsatz „WICHTIG – BITTE lesen!“ fest - gebe es „keinen gesetzeskonformen Grund für die verlängerte Speicherung meiner Daten über den Bewerbungsprozess hinaus“. Im Falle der Nichtbefolgung seiner diesbezüglichen Anordnungen drohte der Beschwerdeführer (bereits in der angeführten Beilage zur Bewerbung) mit rechtlichen Schritten gegen die erstmitbeteiligte Partei.

Dass dies mit gesetzlichen Verpflichtungen eines potenziellen Arbeitgebers im Rahmen einer Stellenausschreibung nicht vereinbar ist, war dem Beschwerdeführer auch stets bewusst.

1.4. Mit E-Mail vom 24.01.2024 teilte die erstmitbeteiligte Partei dem Beschwerdeführer mit, dass die ausgeschriebene Stelle bereits anderwärtig besetzt worden sei und legte gegenüber dem Beschwerdeführer nochmals ausdrücklich die maßgeblichen Rechtsgrundlagen offen, auf welche die verfahrensgegenständliche (weitere) Datenverarbeitung über den Abschluss des unmittelbaren Bewerbungsverfahrens hinaus gestützt wurde.

Darüber hinaus erklärte die erstmitbeteiligte Partei dem Beschwerdeführer ausdrücklich, dass es bei ihr bislang keinen substanziellen Hinweis auf vom Beschwerdeführer in seinen Beilagen thematisierte Identitätsdiebstähle oder ein Risiko dafür im eigenen Zuständigkeitsbereich gegeben habe.

1.5. Bis zum Schreiben vom 24.01.2024 hat die erstmitbeteiligte Partei die Bewerbungsunterlagen und personenbezogenen Daten des Beschwerdeführers nur im Rahmen des Bewerbungsverfahrens verwendet und verarbeitet. Diese Verarbeitung ist auch nicht Inhalt der hier gegenständlichen Beschwerde.

Der Lebenslauf des Beschwerdeführers wurde von der erstmitbeteiligten Partei für die Dauer von sieben Monaten ab der Absage der Bewerbung am 24.01.2024 im Zusammenhang mit allfälligen Beschwerden gegen die Stellenvergabe (etwa im Zusammenhang mit Gleichbehandlungsfragen) gespeichert und sodann gelöscht. Aktuell werden von beiden mitbeteiligten Parteien nur noch personenbezogene Daten des Beschwerdeführers verarbeitet und aufbewahrt, die erforderlich sind um vom Beschwerdeführer (nunmehr) geltend gemachte Rechtsansprüche abzuwehren.

Dazu kommen jene Daten, die der Beschwerdeführer im gegenständlichen datenschutzrechtlichen Verfahren selbst in seinen Stellungnahmen/Beschwerden übermittelt hat. Diese werden jedenfalls bis zum Ablauf der Frist zur Einbringung einer Revision oder Beschwerde gegen die gegenständliche verwaltungsgerichtliche Entscheidung verarbeitet.

2. Beweiswürdigung:

Die Feststellungen zum maßgeblichen Sachverhalt ergeben sich aus dem Verwaltungsakt, der Beschwerde sowie dem Gerichtsakt.

2.1. Die Feststellungen zur erstmitbeteiligten Partei sowie zur Stellenanzeige gründen sich auf den Verwaltungsakt der Datenschutzbehörde. Die Datenschutzerklärung der Plattform wurde vom Beschwerdeführer selbst vorgelegt.

2.2. Die Feststellungen zur zweitmitbeteiligten Partei ergeben sich ebenfalls aus dem Verwaltungsakt und sind unstrittig. Zudem gab die erstmitbeteiligte Partei in der Stellungnahme vom 13.09.2024 glaubhaft an, dass die zweitmitbeteiligte Partei in Reaktion auf das Schreiben des Beschwerdeführers vom 24.01.2024 von der erstmitbeteiligten Partei noch am selben Tag mit der Beantwortung dieses Schreibens beauftragt worden sei. Dies wurde vom Beschwerdeführer auch bestätigt.

2.3. Die getroffenen Feststellungen zur Bewerbung des Beschwerdeführers um die Stelle eines IT-Systemadministrators bei der erstmitbeteiligten Partei ergeben sich aus dem unstrittigen Vorbringen des Beschwerdeführers in seiner verfahrenseinleitenden Eingabe sowie aus den von ihm vorgelegten Unterlagen. Insbesondere wurden die Bewerbung des Beschwerdeführers vom 13.01.2024 sowie die Beilagen „WICHTIG – BITTE lesen!“, „Erklärung“ und „COVID-Angaben“ im erstinstanzlichen Verfahren unmittelbar vorgelegt. Auch deren Inhalt, insbesondere der Wunsch des Beschwerdeführers nach massiver Beschränkung der Verarbeitung personenbezogener Daten (allein auf das Bewerbungsverfahren beschränkt), ist den genannten Beilagen eindeutig zu entnehmen. Daraus ergibt sich auch zweifelsfrei die Absicht des Beschwerdeführers, der erstmitbeteiligten Partei – auch ungeachtet diese allfällig treffende rechtliche Verpflichtungen – auf „Vertragsebene“ exakt vorzuschreiben, wozu und wie sie mit seinen Daten verfahren dürfe.

Da der Beschwerdeführer in seinem Schreiben ganz explizit durch gesetzliche Regelungen (etwa die Beschwerdemöglichkeit im Zusammenhang mit Gleichbehandlung) erforderliche Aufbewahrungspflichten im Rahmen einer Stellenausschreibung für sein Person auszuschließen gedachte und diese auch initiativ explizit in seiner Beilage benannte, kann kein Zweifel darüber bestehen, dass diese Erfordernisse der weiteren Datenverarbeitung dem Beschwerdeführer bei Übermittlung seiner Bewerbung bekannt und bewusst waren.

An der Authentizität und Richtigkeit (im Sinne der so beabsichtigten datenschutzrechtlichen Implikationen) dieser Unterlagen bestehen daher keine Zweifel.

2.4. Dass die erstmitbeteiligte Partei dem Beschwerdeführer mitgeteilt hat, die ausgeschriebene Stelle sei bereits anderwärtig besetzt worden, ergibt sich aus der E-Mail der erstmitbeteiligten Partei vom 24.01.2024. Ebenso geht aus dieser E-Mail hervor, dass die erstmitbeteiligte Partei den Beschwerdeführer diesem Zusammenhang und unter ausdrücklichem Verweis auf sein der Bewerbung beigelegtes Schreiben (nochmals) über die maßgeblichen Rechtsgrundlagen informiert hat, auf welche die bisherige Verarbeitung seiner personenbezogenen Daten gestützt wurde und zukünftig – soweit erforderlich – gestützt werde. Die weiteren Feststellungen sind dieser Mitteilung entnommen.

2.5. Die Feststellungen zur Verwendung der Bewerbungsunterlagen ergeben sich aus dem Vorbringen der mitbeteiligten Parteien und den vorliegenden Verfahrensunterlagen. Dass die Bewerbungsunterlagen bis zur Absage der Bewerbung ausschließlich im Rahmen des Bewerbungsverfahrens verarbeitet wurden, entspricht dem Zweck ihrer Übermittlung und es sind keine Anhaltspunkte für eine anderweitige Verwendung im Beschwerdeverfahren hervorgekommen.

Die Feststellung, wonach die Unterlagen des Beschwerdeführers ab 24.01.2024 noch sieben Monate zum Zweck der Abwehr allfälliger Rechtsansprüche aus dem Bewerbungsverfahren aufbewahrt werden, gründet sich auf die diesbezüglichen unbestrittenen Angaben der mitbeteiligten Parteien. Nach den Angaben der erstmitbeteiligten Partei wurde der Lebenslauf des Beschwerdeführers sieben Monate nach der Absage seiner Bewerbung gelöscht. Der Beschwerdeführer ist diesem Vorbringen im Verfahren nicht nachvollziehbar entgegengetreten und es bestehen auch sonst keine Anhaltspunkte, die geeignet wären, dessen Richtigkeit in Zweifel ziehen. Dass die mitbeteiligten Parteien über den August 2024 hinaus personenbezogene Daten des Beschwerdeführers verarbeiten ergibt sich zwingend aus dem Umstand der der zwischenzeitlich (im Februar 2024) eingebrachten Datenschutzbeschwerde des Beschwerdeführers.

Die Feststellung der Verarbeitung von Daten, die der Beschwerdeführer im Rahmen des gegenständlichen datenschutzrechtlichen Verfahrens der Behörde und/oder dem Gericht übermittelt hat, durch die Verfahrensparteien und das Verwaltungsgericht ergibt sich aus der unstrittigen Tatsache des gegenständlichen Beschwerdeverfahrens. Dass diese nunmehr zwingend bis zum Ablauf der Frist zur Einbringung außerordentlicher Rechtsmittel weiter verarbeitet werden ergibt sich aus der Rechtslage, wobei die Einbringung solcher Rechtsmittel die Verarbeitung der Daten entsprechend verlängert.

3. Rechtliche Beurteilung:

3.1. Gemäß § 6 BVwGG entscheidet das Bundesverwaltungsgericht durch Einzelrichter, sofern nicht in Bundes- oder Landesgesetzen die Entscheidung durch Senate vorgesehen ist.

Gemäß § 27 Abs. 1 DSG entscheidet das Bundesverwaltungsgericht durch Senat über Beschwerden gegen Bescheide, wegen Verletzung der Unterrichtungspflicht gemäß § 24 Abs. 7 leg.cit. und der Entscheidungspflicht der Datenschutzbehörde. Gemäß § 27 Abs. 2 erster Satz DSG besteht der Senat aus einem Vorsitzenden und je einem fachkundigen Laienrichter aus dem Kreis der Arbeitgeber und aus dem Kreis der Arbeitnehmer. Gegenständlich liegt somit Senatszuständigkeit vor.

Das Verfahren der Verwaltungsgerichte mit Ausnahme des Bundesfinanzgerichtes ist durch das VwGVG, BGBl. I 2013/33 idF BGBl. I 2013/122, geregelt (§ 1 leg.cit.). Gemäß § 59 Abs. 2 VwGVG bleiben entgegenstehende Bestimmungen, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bereits kundgemacht wurden, in Kraft.

Gemäß § 17 VwGVG sind, soweit in diesem Bundesgesetz nicht anderes bestimmt ist, auf das Verfahren über Beschwerden gemäß Art. 130 Abs. 1 B-VG die Bestimmungen des AVG mit Ausnahme der §§ 1 bis 5 sowie des IV. Teiles, die Bestimmungen der Bundesabgabenordnung – BAO, BGBl. Nr. 194/1961, des Agrarverfahrensgesetzes – AgrVG, BGBl. Nr. 173/1950, und des Dienstrechtsverfahrensgesetzes 1984 – DVG, BGBl. Nr. 29/1984, und im Übrigen jene verfahrensrechtlichen Bestimmungen in Bundes- oder Landesgesetzen sinngemäß anzuwenden, die die Behörde in dem dem Verfahren vor dem Verwaltungsgericht vorangegangenen Verfahren angewendet hat oder anzuwenden gehabt hätte.

3.2. Gemäß § 31 Abs. 1 VwGVG erfolgen die Entscheidungen und Anordnungen durch Beschluss, soweit nicht ein Erkenntnis zu fällen ist.

Gemäß § 28 Abs. 1 VwGVG hat das Verwaltungsgericht die Rechtssache durch Erkenntnis zu erledigen, sofern die Beschwerde nicht zurückzuweisen oder das Verfahren einzustellen ist.

Zu A)

3.3. Die maßgeblichen Bestimmungen der DSGVO:

Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;

2. „Verarbeitung“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe in Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3.-6. (…)

7. „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so können der Verantwortliche beziehungsweise die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8.-26. (…)

Artikel 5

Grundsätze für die Verarbeitung personenbezogener Daten

(1) Personenbezogene Daten müssen

a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);

b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);

c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);

d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);

e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);

f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;

b) die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderliche, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) – (4) (…)

Artikel 13

Informationspflicht bei Erhebung von personenbezogenen

Daten bei der betroffenen Person

(1) Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit:

a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;

b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;

c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;

d) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;

e) gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und

f) gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.

(2) Zusätzlich zu den Informationen gemäß Absatz 1 stellt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten folgende weitere Informationen zur Verfügung, die notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten:

a) die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;

b) das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;

c) wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;

d) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;

e) ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche möglichen Folgen die Nichtbereitstellung hätte und

f) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und — zumindest in diesen Fällen — aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

(3) Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.

(4) Die Absätze 1, 2 und 3 finden keine Anwendung, wenn und soweit die betroffene Person bereits über die Informationen verfügt.

Artikel 17

Recht auf Löschung („Recht auf Vergessenwerden“)

(1) Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.

b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.

c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2 Widerspruch gegen die Verarbeitung ein.

d) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

e) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.

f) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

(2) Hat der Verantwortliche die personenbezogenen Daten öffentlich gemacht und ist er gemäß Absatz 1 zu deren Löschung verpflichtet, so trifft er unter Berücksichtigung der verfügbaren Technologie und der Implementierungskosten angemessene Maßnahmen, auch technischer Art, um für die Datenverarbeitung Verantwortliche, die die personenbezogenen Daten verarbeiten, darüber zu informieren, dass eine betroffene Person von ihnen die Löschung aller Links zu diesen personenbezogenen Daten oder von Kopien oder Replikationen dieser personenbezogenen Daten verlangt hat.

(3) Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist

a) zur Ausübung des Rechts auf freie Meinungsäußerung und Information;

b) zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erfordert, oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

c) aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit gemäß Artikel 9 Absatz 2 Buchstaben h und i sowie Artikel 9 Absatz 3;

d) für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1, soweit das in Absatz 1 genannte Recht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt, oder

e) zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

3.4 Die maßgeblichen Bestimmungen des DSG:

Artikel 1

(Verfassungsbestimmung)

Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

(…)

Beschwerde an die Datenschutzbehörde

§ 24. (1) Jede betroffene Person hat das Recht auf Beschwerde bei der Datenschutzbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die DSGVO oder gegen § 1 oder Artikel 2 1. Hauptstück verstößt.

(2) Die Beschwerde hat zu enthalten:

1. die Bezeichnung des als verletzt erachteten Rechts,

2. soweit dies zumutbar ist, die Bezeichnung des Rechtsträgers oder Organs, dem die behauptete Rechtsverletzung zugerechnet wird (Beschwerdegegner),

3. den Sachverhalt, aus dem die Rechtsverletzung abgeleitet wird,

4. die Gründe, auf die sich die Behauptung der Rechtswidrigkeit stützt,

5. das Begehren, die behauptete Rechtsverletzung festzustellen und

6. die Angaben, die erforderlich sind, um zu beurteilen, ob die Beschwerde rechtzeitig eingebracht ist.

(3) Einer Beschwerde sind gegebenenfalls der zu Grunde liegende Antrag und eine allfällige Antwort des Beschwerdegegners anzuschließen. Die Datenschutzbehörde hat im Falle einer Beschwerde auf Ersuchen der betroffenen Person weitere Unterstützung zu leisten.

(4) Der Anspruch auf Behandlung einer Beschwerde erlischt, wenn der Einschreiter sie nicht binnen eines Jahres, nachdem er Kenntnis von dem beschwerenden Ereignis erlangt hat, längstens aber binnen drei Jahren, nachdem das Ereignis behaupteter Maßen stattgefunden hat, einbringt. Verspätete Beschwerden sind zurückzuweisen.

(5) Soweit sich eine Beschwerde als berechtigt erweist, ist ihr Folge zu geben. Ist eine Verletzung einem Verantwortlichen des privaten Bereichs zuzurechnen, so ist diesem aufzutragen, den Anträgen des Beschwerdeführers auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragung in jenem Umfang zu entsprechen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.

(6) Ein Beschwerdegegner kann bis zum Abschluss des Verfahrens vor der Datenschutzbehörde die behauptete Rechtsverletzung nachträglich beseitigen, indem er den Anträgen des Beschwerdeführers entspricht. Erscheint der Datenschutzbehörde die Beschwerde insofern als gegenstandslos, so hat sie den Beschwerdeführer dazu zu hören. Gleichzeitig ist er darauf aufmerksam zu machen, dass die Datenschutzbehörde das Verfahren formlos einstellen wird, wenn er nicht innerhalb einer angemessenen Frist begründet, warum er die ursprünglich behauptete Rechtsverletzung zumindest teilweise nach wie vor als nicht beseitigt erachtet. Wird durch eine derartige Äußerung des Beschwerdeführers die Sache ihrem Wesen nach geändert (§ 13 Abs. 8 AVG), so ist von der Zurückziehung der ursprünglichen Beschwerde und der gleichzeitigen Einbringung einer neuen Beschwerde auszugehen. Auch diesfalls ist das ursprüngliche Beschwerdeverfahren formlos einzustellen und der Beschwerdeführer davon zu verständigen. Verspätete Äußerungen sind nicht zu berücksichtigen.

(7) Der Beschwerdeführer wird von der Datenschutzbehörde innerhalb von drei Monaten ab Einbringung der Beschwerde über den Stand und das Ergebnis der Ermittlung unterrichtet.

(8) Jede betroffene Person kann das Bundesverwaltungsgericht befassen, wenn die Datenschutzbehörde sich nicht mit der Beschwerde befasst oder die betroffene Person nicht innerhalb von drei Monaten über den Stand oder das Ergebnis der erhobenen Beschwerde in Kenntnis gesetzt hat.

(9) Die Datenschutzbehörde kann – soweit erforderlich – Amtssachverständige im Verfahren beiziehen.

(10) In die Entscheidungsfrist gemäß § 73 AVG werden nicht eingerechnet:

1. die Zeit, während deren das Verfahren bis zur rechtskräftigen Entscheidung einer Vorfrage ausgesetzt ist;

2. die Zeit während eines Verfahrens nach Art. 56, 60 und 63 DSGVO.

3.5. Art. 17 DSGVO räumt betroffenen Personen unter bestimmten Voraussetzungen das Recht auf Löschung bzw. auf „Vergessenwerden“ ein. Dazu zählen unter anderem die fehlende Notwendigkeit der weiteren Datenverarbeitung, der Widerruf der Einwilligung, der Widerspruch gegen die Datenverarbeitung oder aber es handelt sich um eine an sich unrechtmäßige Verarbeitung.

Ein Löschungsanspruch steht der betroffenen Person iW dann zu, wenn der Verantwortliche bei der Verarbeitung der personenbezogenen Daten der betroffenen Person gegen die Grundsätze des Art. 5 verstößt oder sich auf keine Rechtgrundlage iSd Art. 6 – allenfalls iVm Art. 9 – (mehr) stützen kann. Verarbeitet der Verantwortliche keine Daten, scheitert der Löschungsanspruch. Ausschlaggebender Zeitpunkt für die Beurteilung der Voraussetzungen ist jener der Antragsstellung (vgl. Haidinger in Knyrim, DatKomm Art. 17 DSGVO, Rz 47 [Stand 01.07.2024, rdb.at]).

Sind u.a. die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig (Art. 17 Abs. 1 lit. a DSGVO) oder wurden die personenbezogenen Daten unrechtmäßig verarbeitet (Art. 17 Abs. 1 lit. d DSGVO) hat die betroffene Person das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen (Art. 17 Abs. 1 DSGVO).

Ist die Verarbeitung erforderlich, damit der Verantwortliche einer rechtlichen Verpflichtung nach dem Recht des MS oder der Union nachkommen kann, besteht kein Löschungsanspruch der betroffenen Person, wie z.B. bei Krankenstandstagen eines Mitarbeiters. Beispielsweise unterliegt auch der an ein Inkassobüro übermittelte Auftrags-Datensatz als Geschäftsbrief der Aufbewahrungspflicht nach § 132 Abs. 1 BAO bzw. § 212 UGB. Es handelt sich hier daher um eine Öffnungsklausel, die im Besonderen auf handels- und steuerrechtliche Aufbewahrungspflichten abzielt. Darunter können aber auch gesundheitsrechtliche, haushaltsrechtliche oder archivrechtliche Aufbewahrungspflichten fallen. Aus dem Data Act ergeben sich keine besonderen Pflichten zur Speicherung oder Löschung von Daten (vgl. Haidinger in Knyrim, DatKomm Art. 17 DSGVO, Rz 70 [Stand 01.07.2024, rdb.at]).

Zudem stellt Art. 17 Abs. 3 lit. e DSGVO insofern für alle Arten von Daten klar, dass bei Erfüllung des Tatbestandes Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen für den Verantwortlichen keine Pflicht zur Löschung besteht.

Entsprechend der Rechtsprechung des EuGH muss grundsätzlich jede Verarbeitung personenbezogener Daten den in Art. 5 DSGVO aufgestellten Grundsätzen in Bezug für die Verarbeitung personenbezogener Daten und einem der in Art. 6 DSGVO angeführten Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten genügen (zur Vorgängerbestimmung Art. 6 DS-RL: EuGH 20.05.2003, verb Rs C-465/00, C-138/01 und C-139/01, Österreichischer Rundfunk u.a., Rn 65; 16.12.2008, C-524/06, Huber, Rn 48).

Für die Rechtmäßigkeit einer Verarbeitung personenbezogener Daten enthält Art. 6 Abs. 1 DSGVO eine erschöpfende und abschließende Liste von sechs Fällen (zur Vorgängerbestimmung Art. 7 DS-RL: EuGH 24.11.2011, verb Rs C-468/10 und C-469/10, ASNEF, Rn 30 ff; 19.10.2016, C-582/14, Breyer, Rn 57).

Für den vorliegenden Fall bedeutet das:

Gegenständlich ist zunächst festzuhalten, dass die mitbeteiligten Parteien personenbezogene Daten des Beschwerdeführers iSd Art. 4 Z 1 DSGVO verarbeiten. Dass die mitbeteiligten Parteien dafür als Verantwortliche iSd Art. 4 Z 7 DSGVO zu qualifizieren sind, ist unstrittig.

Es ist daher zu prüfen, ob die mitbeteiligten Parteien ihre Verarbeitung auf den Erlaubnistatbestand der berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO stützen können.

Die Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 lit. f DSGVO ist unter drei kumulativen Voraussetzungen rechtmäßig: Erstens muss von dem für die Verarbeitung Verantwortlichen oder von einem Dritten ein berechtigtes Interesse wahrgenommen werden, zweitens muss die Verarbeitung der personenbezogenen Daten zur Verwirklichung des berechtigten Interesses erforderlich sein und drittens dürfen die Interessen oder Grundrechte und Grundfreiheiten der Person, deren Daten geschützt werden sollen, gegenüber dem berechtigten Interesse des Verantwortlichen oder eines Dritten nicht überwiegen (vgl. EuGH 09.01.2025, C-394/23, Mousse, Rz 45 ff).

Zum berechtigten Interesse:

In Ermangelung einer Definition des Begriffs des „berechtigten Interesses“ durch die DSGVO, kann ein breites Spektrum von Interessen grundsätzlich als berechtigt gelten. Der Unionsgesetzgeber hat diesbezüglich nicht verlangt, dass das Interesse eines Verantwortlichen gesetzlich geregelt sein muss. Allerdings verlangt der Begriff „berechtigtes Interesse“ im Sinne von Art. 6 Abs. 1 lit. f DSGVO, auch wenn er nicht auf gesetzlich verankerte und bestimmte Interessen beschränkt ist, dass das geltend gemachte berechtigte Interesse rechtmäßig ist (vgl. EuGH 04.10.2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond, Rz 38 ff).

Nach der Rechtsprechung des Europäischen Gerichtshofes stellen die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen ein berechtigtes Interesse dar (vgl. EuGH 17.06.2021, C-597/19 Rz 108 ff). Somit ist im vorliegenden Fall sowohl für die erstmitbeteiligte als auch für die zweitmitbeteiligte Partei grundsätzlich das Vorliegen eines berechtigten Interesses zu bejahen, da sie sich in einem datenschutzrechtlichen Verfahren befinden. Hinzu kommt, dass der Beschwerdeführer bereits mit seiner Bewerbung bei der erstmitbeteiligten Partei mit rechtlichen Konsequenzen gedroht hat, würde sich die erstmitbeteiligte Partei sich nicht exakt an die vom Beschwerdeführer vorgegebenen „Datenschutzbestimmungen“ halten würde.

Außerdem gibt es gesetzliche Gründe in Bewerbungsverfahren für die Verarbeitung, denn es könnten von den Bewerbern nach einem Bewerbungsprozess etwa Ansprüche nach dem Gleichbehandlungsgesetz (§ 26 Abs. 1 und 5 GlBG iVm § 29 Abs. 1 GlBG) geltend gemacht werden, weswegen die erstmitbeteiligte Partei ein berechtigtes Interesse hat, Bewerbungsunterlagen für eine bestimmte Zeit aufzubewahren.

Zur Erforderlichkeit:

Im Hinblick auf die Erforderlichkeit der Verarbeitung personenbezogener Daten zur Verwirklichung des wahrgenommenen berechtigten Interesses ist zu prüfen, ob das berechtigte Interesse an der Verarbeitung der Daten nicht in zumutbarer Weise ebenso wirksam mit anderen Mitteln erreicht werden kann, die weniger stark in die Grundrechte und Grundfreiheiten der betroffenen Personen eingreifen, wobei eine solche Verarbeitung innerhalb der Grenzen dessen erfolgen muss, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist. Die Voraussetzung der Erforderlichkeit ist gemeinsam mit dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO zu prüfen und verlangt, dass personenbezogene Daten dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind (vgl. EuGH 09.01.2025, C-394/23, Mousse, Rz 48 f).

Es ist hier nicht ersichtlich, wie sich die erstmitbeteiligte Partei ohne die gegenständlichen Daten des Beschwerdeführers (Lebenslauf, Korrespondenz mit dem Beschwerdeführer, Bewerbungsunterlagen) sich im Falle einer Beschwerde gegen die Stellenvergabe zur Wehr setzen könnte. Für die zweitmitbeteiligte Partei ist dieses Wissen aufgrund ihrer funktionalen Stellung zur Erstmitbeteiligten unabdingbar. Dass der Beschwerdeführer für den Fall der Löschung einen Verzicht auf eine solche Beschwerde in den Raum gestellt hat, kann daran nichts ändern. Da die mitbeteiligten Parteien die Verarbeitung von personenbezogenen Daten auch auf das notwendige Maß beschränkt haben, ist das Kriterium der Erforderlichkeit ebenfalls erfüllt.

Zur Interessenabwägung:

In einem weiteren Schritt ist im Rahmen der Interessenabwägung zu prüfen, in welchem Verhältnis sich die Interessen der jeweiligen Parteien gegenüberstehen. Als generelle Maxime gilt bei der Prüfung, dass ein geringes und nicht besonders zwingendes Interesse eines Verantwortlichen für gewöhnlich nur dann stärker als die Interessen und Rechte der betroffenen Person zu gewichten ist, wenn die Auswirkungen auf diese Interessen und Rechte der betroffenen Person gering sind. Je wichtiger und zwingender die berechtigten Interessen des Verantwortlichen sind, desto massivere Eingriffe in die Interessen und Rechte der betroffenen Person lassen sich dadurch rechtfertigen. Hier sind auch Schutzmaßnahmen zur Abmilderung von unangemessenen Folgen für betroffene Personen zu berücksichtigen, die eine besondere Rolle in der Abwägung spielen. Die Interessenabwägung hat zudem immer aus objektiver Sicht zu erfolgen. Die Interessenabwägung endet mit einer Bewertung der berechtigten Interessen des Verantwortlichen auf der einen Seite und einer Folgenabschätzung für die Interessen und Rechte der betroffenen Person auf der anderen Seite.

Eine wichtige und recht hilfreiche Auslegungshilfe bei dieser Abwägung ist ErwGr 47 Satz 1 zu entnehmen: „Dabei sind die vernünftigen Erwartungen der betroffenen Person, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, zu berücksichtigen.“ In dieselbe Richtung geht auch Satz 4 desselben ErwGr: „Insbesondere dann, wenn personenbezogene Daten in Situationen verarbeitet werden, in denen eine betroffene Person vernünftigerweise nicht mit einer weiteren Verarbeitung rechnen muss, könnten die Interessen und Grundrechte der betroffenen Person das Interesse des Verantwortlichen überwiegen.“ Bei der Überlegung, was die vernünftige Erwartungshaltung der betroffenen Person im jeweiligen Verarbeitungszusammenhang umfasst, kommt es darauf an, ob die betroffene Person im Zeitpunkt der Datenerhebung unter Berücksichtigung der Umstände vernünftigerweise damit rechnen konnte, dass eine Datenverarbeitung für einen bestimmten Zweck stattfinden wird. Etwas spezifischer fügen Braun/Hasenauer (Jahrbuch Datenschutzrecht 2018, 34) als weiteres Kriterium hinzu, dass der sachliche Zusammenhang zwischen dem wesentlichen Kern der Beziehung zwischen der betroffenen Person und dem Verantwortlichen maßgeblich ist. Je enger und typischer dieser Zusammenhang aufgrund der Umstände ist, desto eher muss die betroffene Person vernünftigerweise mit der Verarbeitung rechnen (vgl. Jahnel, Kommentar zur Datenschutz-Grundverordnung Art. 6 DSGVO, Rz 77-79 [Stand 01.12.2020, rdb.at]).

In diesem Zusammenhang ist davon auszugehen, dass im Rahmen der vorzunehmenden Interessensabwägung im Einzelfall, das Interesse des Beschwerdeführers an der (vorzeitigen) Löschung seiner personenbezogenen Daten und jenes der mitbeteiligten Parteien, sich gegen geltend gemachte rechtliche Ansprüche des Beschwerdeführers zu verteidigen, gegeneinander abzuwiegen sind. Gegenständlich war dem Beschwerdeführer einerseits bewusst, dass durch die Übermittlung der Bewerbungsunterlagen seine personenbezogenen Daten durch die erstmitbeteiligte Partei verarbeitet werden würden. Andererseits war ihm schon bei Einbringung seiner Bewerbung klar, dass die erstmitbeteiligte Partei diese Daten über den Bewerbungsprozess hinaus verarbeiten muss, weil er exakt die hier in Rede stehende fortgesetzte Verarbeitung für sieben Monate aktiv zu vereiteln suchte.

Wenn der Beschwerdeführer nunmehr vorbringt, er hätte der erstmitbeteiligten Partei seine Unterlagen nicht übermittelt, wenn ihm bekannt gewesen wäre, dass diese über einen längeren Zeitraum nach Abschluss des Bewerbungsverfahrens gespeichert werden würden, ist ihm entgegenzuhalten, dass ihm der einschlägige Verarbeitungszweck bekannt war und er nicht nur mit einer entsprechenden Speicherung hätte rechnen müssen, sondern diese offenkundig sogar annahm (da er sie ja mit seiner Beilage auszuhebeln suchte), zumal die Aufbewahrung von Bewerbungsunterlagen gesetzlich vorgeschrieben ist.

Aus diesen Gründen überwiegen die berechtigten Interessen der mitbeteiligten Parteien die Grundrechte und Grundfreiheiten des Beschwerdeführers und kann im gegenständlichen Fall die Verarbeitung der personenbezogenen Daten des Beschwerdeführers auf die Bestimmung des Art. 6 Abs. 1 lit. f DSGVO gestützt werden.

Da gegenständlich die personenbezogenen Daten des Beschwerdeführers somit nicht unrechtmäßig verarbeitet werden, ist der Tatbestand des Art. 17 Abs. 1 lit. d DSGVO auch nicht erfüllt. Der erkennende Senat teilt darüber hinaus die im angefochtenen Bescheid vertretene Auffassung der belangten Behörde, wonach auch die übrigen Tatbestände des Art. 17 Abs. 1 DSGVO im vorliegenden Fall nicht einschlägig sind.

3.6. Soweit der Beschwerdeführer eine mangelhafte Information über die fortgesetzte Verarbeitung (ab Absage) geltend macht, ist zunächst festzuhalten, dass er diese Daten zunächst freiwillig und im eigenen Interesse (Bewerbung) zur Verfügung gestellt hat. Zweck und Umfang dieser Verarbeitung waren ihm zum Zeitpunkt der Übermittlung auch bekannt, was aus der Bewerbung samt Beilagen zweifelsfrei hervorgeht. Ebenso klar war ihm jedoch auch, dass eine Weiterverarbeitung in eingeschränktem Umfang erfolgen werde/müsse. Zusätzlich finden sich diese Informationen auch auf der Homepage des vom Beschwerdeführer zur Informationserlangung genutzten Portals.

Dies wurde ihm gemeinsam mit der Absage auf seine Bewerbung mitgeteilt und erfüllt inhaltlich die Kriterien des Art. 13 DSGVO. Wie die Behörde richtig ausgeführt hat, muss eine solche Information erst erteilt werden, wenn die weitere/geänderte Verarbeitung anläuft. Nicht aber bereits vor der ursprünglichen Verarbeitung. Damit ist die weitere Verarbeitung ab 24.01.2024 durch die erstmitbeteiligte Partei rechtskonform, was auf die Verarbeitung durch die zweitmitbeteiligte Partei (die in deren Auftrag agiert) durchschlägt.

Soweit der Beschwerdeführer von einer stillschweigenden Anerkennung seiner persönlichen Datenschutzregeln (gemäß der Beilage zur Bewerbung) ausgeht, ist dieser Überlegung nicht näherzutreten. Die (weitere) Verarbeitung erfolgt im gegenständlichen Fall aufgrund gesetzlicher Vorschriften und Verpflichtungen, die zivilrechtlich nicht abbedungen werden können. Soweit der Beschwerdeführer von einer Informationspflicht über die (allfällige) weitere Verarbeitung bereits am 13.01.2024 ausgeht, liegt erneut ein Irrtum vor. Auch im Falle der Vergabe der Stelle an den Beschwerdeführer wäre eine Änderung der Verarbeitung eingetreten – allerdings aus anderen Gründen (etwa der Vorbereitung eines Dienstvertrages, eines Personalaktes, etc.). Dem Verantwortlichen kann aber nicht auferlegt werden, bereits bei (im Übrigen eigeninitiativer) Übermittlung der Daten des Beschwerdeführers diesen über sämtliche potentiell im Raum stehende Änderungen des Verarbeitungszwecks zu informieren. Vielmehr ist gemäß der auch von der Datenschutzbehörde wiedergegebenen Judikatur die konkrete weitere/geänderte Verarbeitung der Daten entsprechend darzulegen.

3.7. Da die personenbezogenen Daten des Beschwerdeführers im gegenständlichen Fall somit nicht unrechtmäßig verarbeitet werden, besteht keine Löschungspflicht nach Art. 17 Abs. 1 lit. d DSGVO. Der erkennende Senat teilt überdies – in Übereinstimmung mit den Ausführungen der belangten Behörde im angefochtenen Bescheid – die Auffassung, dass auch die übrigen Tatbestände des Art. 17 Abs. 1 DSGVO im vorliegenden Fall nicht einschlägig sind.

Hinzu kommt, dass die Verarbeitung durch die mitbeteiligten Parteien gemäß Art. 17 Abs. 3 lit. e DSGVO zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist, da sie sich bereits (zumindest) in einem datenschutzrechtlichen Verfahren befinden.

Da dem angefochtenen Bescheid aus diesen Gründen eine Rechtswidrigkeit iSd Art. 130 Abs. 1 Z 1 B-VG nicht anhaftet, war die dagegen erhobene Beschwerde gemäß § 28 Abs. 2 VwGVG iVm § 24 Abs. 1 und Abs. 5 DSG abzuweisen.

3.8. Zu den sonstigen Anträgen des Beschwerdeführers:

Die Kognitionsbefugnis des Verwaltungsgerichts beschränkt sich grundsätzliche auf die rechtliche Prüfung der in Beschwerde gezogenen (behördlichen) Entscheidungen, deren Inhalt/Gegenstand wiederum durch die verfahrenseinleitende Beschwerde definiert ist. Darüberhinausgehende Anträge in einer Beschwerde sind als unzulässig zurückzuweisen (vgl. etwa VwGH 18.10.2022, Ra 2022/01/0276, mwN). Dies gilt auch für Anträge, denen es überhaupt an einer rechtlichen Grundlage mangelt.

Nach § 39 Abs. 2 AVG iVm § 17 VwGVG bestimmt das Verwaltungsgericht den Gang des Ermittlungsverfahrens von Amts wegen. Einer Partei steht zwar das Recht auf Parteiengehör und die Stellung von Beweisanträgen zu, sie hat jedoch keinen subjektiven Anspruch darauf, dem Gericht die Art der Verfahrensführung oder die Reihenfolge der Ermittlungsschritte vorzuschreiben.

Verfahrensgegenständlich begehrte der Beschwerdeführer (siehe oben I.7.) etwa, das Bundesverwaltungsgericht möge „dafür Sorge zu tragen, dass das Verfahren möglichst schnell und unter niedrigen Belastungen abgeschlossen werde“ oder „die Daten sowie die Gesetzeslage ordentlich und vollständig sichten und prüfen“. Diese Anträge betreffen die Verfahrensleitung und enthalten keine konkreten, einer Sachentscheidung zugänglichen Begehren. Gemäß § 39 Abs. 2 AVG iVm § 17 VwGVG obliegt die Bestimmung des Ganges des Ermittlungsverfahrens dem Verwaltungsgericht. Die Verfahrensführung richtet sich nach den gesetzlichen Vorgaben, insbesondere nach den Grundsätzen der Zweckmäßigkeit, Raschheit, Einfachheit und Kostenersparnis. Ein subjektives Recht einer Partei, dem Gericht Vorgaben über die Art oder den Ablauf der Verfahrensführung zu machen, besteht nicht und sind schon deswegen als unzulässig zurückzuweisen.

Selbiges gilt für die Untersuchung gegen Sachbearbeiter der Datenschutzbehörde aufgrund gemutmaßter Befangenheit oder eine „Überwachung bzw. Belehrung“ der Sachbearbeiter der Datenschutzbehörde.

Für die beantragten Entschädigungen fehlt es zunächst an einer entsprechenden Rechtsgrundlage. Darüber hinaus ist der Arbeitsaufwand in einem Verfahren mit minimalen Kosten per se kein ersatzfähiger „Schaden“ – umso mehr, als es gegenständlich an einem inhaltlichen Obsiegen des Beschwerdeführers mangelt.

Der Vollständigkeit halber sei lediglich darauf hingewiesen, dass Schriftsätze in einem Gerichtsverfahren keinem „Copyright“ unterliegen und auch nicht dahingehend als „geistiges Eigentum“ gelten, dass es dadurch dem Gericht untersagt wäre, aus diesen zu zitieren oder sie entsprechend der (verfahrens)rechtlichen Erfordernisse zu speichern und zu verarbeiten.

3.9. Durchführung einer mündlichen Verhandlung

Gemäß § 24 Abs. 1 VwGVG hat das Verwaltungsgericht auf Antrag oder, wenn es dies für erforderlich hält, von Amts wegen eine öffentliche mündliche Verhandlung durchzuführen.

Gemäß § 24 Abs. 4 VwGVG kann das Verwaltungsgericht ungeachtet eines Parteiantrags von einer Verhandlung absehen, wenn die Akten erkennen lassen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt, und einem Entfall der Verhandlung weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten noch Art. 47 der Charta der Grundrechte der Europäischen Union entgegenstehen.

Der Beschwerdeführer hat gegenständlich keinen Antrag auf Durchführung einer öffentlichen Verhandlung gestellt. Im gegenständlichen Fall kann das Unterlassen einer mündlichen Verhandlung darauf gestützt werden, dass der Sachverhalt aus der Aktenlage geklärt ist. Dass der Beschwerdeführer ohne jegliche stichhaltige Vorbringen Mutmaßungen zum Risiko eines Missbrauchs seiner Daten („Identitätsdiebstahl“) durch die mitbeteiligten Parteien äußert, kann nicht als substantielles Bestreiten des festgestellten Sachverhalts der erstinstanzlichen Entscheidung interpretiert werden. Gleiches gilt für die – wie oben (Punkt 3.7.) dargelegt – weder in sich schlüssigen noch sonst nachvollziehbaren Vorwürfe gegen die belangte Behörde.

Das Bundesverwaltungsgericht hatte ausschließlich über eine Rechtsfrage zu erkennen (vgl. EGMR 20.06.2013, Appl. Nr. 24510/06, Abdulgadirov/AZE, Rz 34ff). Auch nach der Rechtsprechung des Verfassungsgerichtshofs kann eine mündliche Verhandlung unterbleiben, wenn der Sachverhalt unbestritten und die Rechtsfrage von keiner besonderen Komplexität ist (VfSlg. 17.597/2005; VfSlg. 17.855/2006; zuletzt etwa VfGH 18.06.2012, B 155/12).

Von der Durchführung einer mündlichen Verhandlung konnte folglich gemäß § 24 Abs. 1 VwGVG abgesehen werden.

Zu B) (Un)Zulässigkeit der Revision:

Gemäß § 25a Abs. 1 VwGG hat das Verwaltungsgericht im Spruch seines Erkenntnisses oder Beschlusses auszusprechen, ob die Revision gemäß Art. 133 Abs. 4 B-VG zulässig ist. Der Ausspruch ist kurz zu begründen.

Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig, weil die Entscheidung nicht von der Lösung einer Rechtsfrage abhängt, der grundsätzliche Bedeutung zukommt. Weder weicht die gegenständliche Entscheidung von der bisherigen Rechtsprechung des Verwaltungsgerichtshofes ab, noch fehlt es an einer Rechtsprechung; weiters ist die vorliegende Rechtsprechung des Verwaltungsgerichtshofes auch nicht als uneinheitlich zu beurteilen. Auch liegen keine sonstigen Hinweise auf eine grundsätzliche Bedeutung der zu lösenden Rechtsfrage vor.

Vielmehr erfolgte die Verarbeitung der personenbezogenen Daten im Zusammenhang mit einer vom Gesetzgeber definierten arbeitnehmerrechtlichen Schutzstruktur, die Beschwerdemöglichkeiten bei Stellenvergaben vorsieht. Dass diese nicht durch zivilrechtliche Verträge (schon gar nicht solche, die “implizit” – etwa im Sinne einer “Annahme durch Schweigen” – zustande gekommen sein sollen) ausgehebelt werden können, ergibt sich bereits aus der rechtsstaatlichen Grundstruktur.