IM NAMEN DER REPUBLIK!
Das Bundesverwaltungsgericht erkennt durch den Richter Mag. LUGHOFER als Vorsitzenden sowie die fachkundige Laienrichterin Mag. (FH) LACHNIT-GRIUC und den fachkundigen Laienrichter Dr. GOGOLA als Beisitzer über die Beschwerde des XXXX , gegen den Bescheid der Datenschutzbehörde, Barichgasse 40 bis 42, 1030 Wien, vom 10.10.2025, GZ. D124.0334/24 2025-0.817.838, Mitbeteiligte XXXX , wegen Verletzung im Recht auf Auskunft und im Recht auf Geheimhaltung, in nicht-öffentlicher Sitzung zu Recht:
Der Beschwerde wird nicht Folge gegeben.
Die Revision ist gemäß Art. 133 Abs. 4 B-VG nicht zulässig.
Entscheidungsgründe:
XXXX (im Folgenden Beschwerdeführer, BF) wandte sich zunächst mit Schreiben vom 18.12.2023 an den Vorstand der XXXX (letztere im Folgenden Mitbeteiligte, MB) unter dem Betreff “Auskunft nach DSGVO und u.U. Auskunftspflichtgesetz - frivole Umkehr des Whistleblower-Prinzips: Geheimhaltung der XXXX -Sachbearbeiter und Bekanntgabe der Identität des Whistleblowers!”. Er führte darin zusammengefasst - gerichtet an “Lieber anonymer Vorstand” (auf der Homepage der MB werde die Identität des Vorstandes geheim gehalten) - aus, im Sommer 2023 habe er drei Beschwerden an die MB gerichtet, die ernste Mängel vor allem im formalen Ablauf der “zu 100 % getürkten” Ausschreibungen betroffen hätten, weil im Voraus klar gewesen sei, dass die Stellengewinner lange vor der Ausschreibung festgestanden seien und die Ausschreibungen nicht den üblichen Mindeststandards entsprochen hätten. Die Beschwerden seien in den Aufgabenbereich der MB gefallen. Es habe sich um anonymisierte Beschwerden über den Whistleblower-Dienst auf der Homepage der MB gehandelt, nämlich Beschwerde vom 27.06.2023/Chiffre: Nr. XXXX , Beschwerde vom 02.07.2023/Chiffre: Nr. XXXX und Beschwerde vom 19.07.2023/Chiffre: Nr. XXXX . Die Reaktion der MB sei skandalös und datenschutzrechtlich höchst bedenklich gewesen, weil die MB den garantierten Anonymitätsschutz für Whistleblower konsequent verletzt habe, weil die Identität des BF und seine Beschwerden an die betroffenen Universitäten weitergeleitet worden seien. Obwohl alle drei Beschwerden anonym mit Chiffren eingereicht worden seien, habe der BF inhaltslose Antwortschreiben der MB erhalten, in denen er mit Namen und Titel angesprochen worden sei, sogar seine E-Mail-Adresse habe sich die MB offenkundig durch die Universitäten, über die er sich beschwert habe, beschafft. Dass in den Beilagen zu seinen Beschwerden, die er an die MB gerichtet habe, u.a. Seminare aufgeschienen seien, erkläre nicht, woher die MB seine E-Mail-Adresse bezogen habe und besage auch nichts über die Identität der drei Beschwerdeführer. Auch der Umstand, dass der BF vor längerer Zeit möglicherweise mit der MB in E-Mail-Verkehr gestanden sei, besage gar nichts, da die MB erstens seine E-Mail-Daten wieder löschen hätte müssen und zweitens auch eine zufällige Namensgleichheit vorliegen könne. Es gebe Dutzende “ XXXX ”.
Er stelle den Antrag, folgende Auskünfte über alle von der MB über den BF angelegten Dateien und die Verarbeitung seiner personenbezogenen Daten zu erhalten:
“1. Zwecke der Verarbeitung und deren Rechtsgrundlage
2. Kategorien personenbezogener Daten, die verarbeitet werden,
3. Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind, insbesondere bei Empfängen in Drittländern oder bei internationalen Organisationen,
4. falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer
5. Bestehen eines Rechts auf Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung personenbezogener Daten der betroffenen Person durch den Verantwortlichen
6. das Bestehen eines Beschwerderechts bei der Datenschutzbehörde sowie deren Kontaktdaten und
7. Mitteilung zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie alle verfügbaren Informationen über die Herkunft der Daten.”
Insbesondere begehre der BF Auskunft, an wen die MB seine Beschwerden weitergeleitet habe und wie sie in Besitz seiner E-Mail-Adresse gekommen sei.
Darauf antwortete die MB mit Schreiben vom 10.01.2024 an den BF zusammengefasst:
1. Im Sinne einer transparenten Vereinsführung seien alle Organe der MB auf ihrer Website XXXX einsehbar.
2. Die Zwecke und Tätigkeiten der MB seien in den Statuten festgelegt. Die Besetzung von Stellen sei keine wissenschaftliche Tätigkeit und falle nicht in den Zuständigkeitsbereich der MB. Sie obliege den ausschreibenden Institutionen.
3. Entsprechend Art. 15 DSGVO werde mitgeteilt:
“a. Der einzige Verarbeitungszweck der personenbezogenen Daten zu XXXX ist die Bearbeitung seiner an die XXXX gerichteten Anfragen.
b. Die Verarbeitung betrifft ausschließlich die allgemeine Kategorie personenbezogener Daten. Spezifisch:
i. Name,
ii. Titel,
iii. Adress-/Kontaktdaten im Fall der Hinweiserbringung via E-Mail/Tel./Briefpost.
c. Generell werden personenbezogene Daten von der XXXX ohne vorherige Zustimmung der betreffenden Person, im Regelfall ein*e Hinweisgeber*in, nicht an Dritte weitergegeben.
Personenbezogene Daten von XXXX wurden zu keinem Zeitpunkt gegenüber Dritten offengelegt. Hierzu gehört auch die von ihm selbst in der Korrespondenz mit der XXXX im Zeitraum 16.10.2021 bis 19.01.2022 verwendete E-Mail-Adresse XXXX .
d. Personenbezogene Daten werden so lange aufbewahrt, wie es die Aufklärung und abschließende Beurteilung des Hinweises erfordern oder ein berechtigtes Interesse der XXXX besteht und dies aufgrund eines Gesetzes erforderlich ist. …
e. Nach dem europäischen Datenschutzrecht haben XXXX und die im Hinweis genannten Personen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie ein Widerspruchsrecht gegen die Verarbeitung der personenbezogener Daten. Wird das Widerspruchsrecht in Anspruch genommen, prüft die XXXX umgehend, inwieweit die gespeicherten Daten für die Bearbeitung eines Hinweises noch erforderlich sind.
f. Eine Beschwerde ist möglich über die Datenschutzbehörde der Republik Österreich.
g. Alle der XXXX zur Verfügung stehenden personenbezogenen Daten zu XXXX stammen von diesem selbst.
h. Es besteht keine automatisierte Entscheidungsfindung.
4. Bezüglich Ihres Vorwurfs der Verletzung Ihrer Anonymität:
Sie haben Ihre Identität durch Angaben in den Meldungen selbst sowie den zugehörigen Anlagen eindeutig identifizierbar gemacht, nachfolgend ein Auszug (s. S. 6 bis 7) aus der Anlage XXXX zur anonym eingereichten Anfrage vom 27.06.2023:”
Es folgt eine Tabelle mit u.a. folgenden Angaben:
“ XXXX ”.
Fortgesetzt wird ausgeführt:
“Durch die zeitliche Nähe der Einbringungen sowie Formatierung, Ortsangaben, fachliche Informationen etc. sind Sie ebenso in der Meldung vom 02.07.2023 eindeutig, ohne dass es hierzu einer weiteren Recherche bedürfte, unwillkürlich identifizierbar.
Im Datenschutzhinweis zu unserem XXXX findet sich folgender Hinweis:
Hinweis zum Versand von Anhängen
[…]. Wenn Sie anonym eine Meldung abgeben möchten, beachten Sie bitte den folgenden Sicherheitshinweis: Dateien können versteckte personenbezogene Daten enthalten, die Ihre Anonymität gefährden. Entfernen Sie diese Daten vor dem Versenden. […] “
Der BF wandte sich sodann mit Datenschutzbeschwerde vom 18.01.2024 an die Datenschutzbehörde (im Folgenden: belangte Behörde) und führte zusammengefasst aus, am 18.12.2023 habe er mittels Einschreibebrief ein Auskunftsersuchen nach Art. 15 DSGVO an die MB gerichtet. Mit Schreiben vom 10.01.2024 habe “ein anonymer Briefschreiber mit unleserlicher Unterschrift (“Paraphen-Gekritzel”) geantwortet”, wobei die meisten Fragen gar nicht beantwortet worden seien, einige lakonisch, andere falsch. Groteskerweise habe der anonyme Briefverfasser den BF streckenweise gar nicht in der Sie-Form, sondern in der dritten Person angesprochen, sodass erwiesen sei, dass die MB ihre Auskunft an unbekannte Dritte versandt und damit ein neues Datenschutzdelikt gesetzt habe. Der “sehr lustige anonyme Brief” der MB werde den Ansprüchen von Art. 15 nicht gerecht, es werde der Verantwortliche verheimlicht, eine Kopie der personenbezogenen Daten verweigert, der Zweck der Verarbeitung nicht dargelegt, es würden falsche gespeicherte Kategorien trotz anonymer Whistleblower-Anzeigen angegeben und die Datenherkunft bleibe unklar. Es bestehe eine grundlose endlose Speicherung und es stelle sich die Frage, wieso sich die MB über eine anonyme Whistleblower-Schiene Missstände melden lasse, wenn sie gleichzeitig lapidar erkläre, sie speichere ”Name, Titel und Adresse”, um die Beschwerde abzuarbeiten. Ungeklärt sei auch die Herkunft seiner personenbezogenen Daten.
Die MB habe über viele Jahre die Daten des BF abgespeichert, obwohl sie selbst im anonymen Auskunftsschreiben vom 10.01.2024 behauptet habe, dass personenbezogene Daten so lange aufbewahrt werden, wie es die Aufklärung und abschließende Beurteilung des Hinweises erforderten. Die MB habe falsche Angaben zur Herkunft der Daten gemacht und solche an Dritte weitergegeben.
Über Aufforderung der belangten Behörde nahm die MB am 22.11.2024 Stellung und führte aus, sich nur auf die datenschutzrelevanten Punkte in der Beschwerde zu beziehen. Zur unvollständigen Auskunft sei auszuführen, dass der Verein XXXX als juristische Person und nicht dessen MitarbeiterInnen für die Verarbeitung von personenbezogenen Daten verantwortlich zeichneten. Der (Datenschutz-)Verantwortliche sei nicht verheimlicht worden. Dem Auskunftsbegehren sei vollumfänglich und korrekt entsprochen worden. Der Vorwurf, Fragen seien lakonisch oder falsch beantwortet worden, werde zurückgewiesen. Personenbezogene Daten des BF (Name, Titel und E-Mail Kontakt) seien zu keinem Zeitpunkt an Dritte übermittelt worden.
Die MB schloss ihr Auskunftsschreiben vom 10.01.2024 an und antwortete dem BF mit Schreiben vom 06.12.2024 gesondert.
Darin finden sich u.a. folgende Passagen:
“2) Entsprechend Art 15 DSGVO dürfen wir Ihnen folgendes mitteilen:
a. Ihren ursprünglichen Antrag auf Auskunft nach Art. 15 DSGVO haben wir am 18.12.2023 per Post bekommen. Am 16. Oktober 2024 (Erhalt der Beilage nach unserem Ersuchen um Nachreichung vom 17. Oktober 2024 am 17. Oktober 2024) erhielten wir Ihre Beschwerde bei der DSB sowie das Ersuchen der DSB um Stellungnahme. Wir halten Ihre Identität darin für ausreichend nachgewiesen.
b. Ihr Antrag vom 18.12.2023 wurde am 10.01.2024 fristgerecht beantwortet. …
c. Wir verarbeiten folgende Daten zu Ihrer Person:
i. Name: XXXX ,
ii. Titel: XXXX ,
iii. Adress-/Kontaktdaten im Falle der Hinweiserbringung via E-Mail/Tel./Briefpost:
Die in der Korrespondenz im Kontext der Anfrage vom 16.10.2021 verwendete E-Mail-Adresse: XXXX . Die im E-Mail vom 16.10.2021 enthaltenen Adressangaben: XXXX
Seit dem Einlangen Ihres Auskunftsersuchen an die XXXX am 18.12.2023, die darin enthaltenen Adressangaben: XXXX .
Weiters enthalten die uns von Ihnen zur Dokumentation Ihrer Anfragen zur Verfügung gestellten und bei uns so abgespeicherten Unterlagen biografische Informationen. Sie hatten in Ihrem Schreiben vom 18.12.2023 nicht um eine Kopie der Daten gemäß § 15 Abs. 3 DSGVO ersucht. Nachdem die Dokumente von Ihnen stammen, ist davon auszugehen, dass ihr Inhalt Ihnen bekannt ist. Im Sinne der Vollständigkeit der Auskunft fügen wir nun eine Kopie all dieser Dokumente inklusive relevanter E-Mails zwischen Ihnen und Mitarbeitenden der XXXX bei (siehe Anlage).
d. Diese werden zu folgenden Zwecken verarbeitet: Der einzige Verarbeitungszweck Ihrer personenbezogenen Daten ist die Bearbeitung folgender von Ihnen an die XXXX gerichteter Anfragen:
i. Anfrage vom 16.10.2021 per Email
ii. Anfrage vom 27.6.2023 via XXXX Hinweisgebendenplattform
iii. Anfrage vom 2.7.2023 via XXXX Hinweisgebendenplattform
…
e. Generell werden personenbezogene Daten von der XXXX ohne vorherige Zustimmung der betreffenden Person, im Regelfalls ein*e Hinweisgeber*in, nicht an Dritte weitergegeben.
Ihre personenbezogenen Daten wurden zu keinem Zeitpunkt gegenüber Dritten offengelegt. Hierzu gehört auch die von Ihnen selbst in der Korrespondenz mit der XXXX im Zeitraum 16.10.2021 bis 19.01.2022 verwendete E-Mailadresse XXXX . Aus der Tatsache, dass ein Teil der für Sie verfassten Antwort auf Ihren Auskunftsantrag in dritter Person formuliert ist, lässt sich nichts Gegenteiliges ableiten.
f. Wir speichern Ihre personenbezogenen Daten so lange, wie es die Aufklärung und abschließende Beurteilung Ihrer Anfrage erfordert. Rechtsgrundlage der Verarbeitung sind insb. Art 6 Abs 1 lit e (Wahrnehmung einer Aufgabe im öffentlichen Interesse) und Art 6 Abs 1 lit f (berechtigtes Interesse des Verantwortlichen) DSGVO.
Wir werden die Unterlagen zu Ihrer Anfrage vom 16.10.2021, die am 19.1.2022 abgeschlossen wurde, plangemäß per 19.1.2025 löschen. (…)”
Dem angeschlossen ist eine umfangreiche Dokumentation, beispielsweise ein E-Mail von XXXX vom 16.10.2021 an XXXX betreffend die Besetzung einer Stelle als Assistent in der XXXX , weiters ein E-Mail-Verkehr zwischen XXXX und XXXX vom 19. Jänner 2022, in dem sich der BF über ein “höchst ermüdendes und inhaltsloses Telefonat” beschwert, weiters eine Originalmeldung 2023-06-27 betreffend “abgekartete Stellenausschreibung für Assistenten am ILS/Uni Ibk” zur Meldungsnummer 113 und eine Originalmeldung 2023-07-02 zur Meldungsnummer 114 “abgekartete Stellenvergabe an XXXX (Universität XXXX )”.
Mit Mitteilung über den Verfahrensstand vom 20.09.2025 übermittelte die belangte Behörde dem BF die Stellungnahme der MB und führte aus, durch die Reaktion der MB betrachte die Behörde die Beschwerde im Recht auf Auskunft als erledigt und werde das Verfahren formlos einstellen, sollte nicht binnen Frist begründet werden, weshalb die Rechtsverletzung zumindest teilweise als nicht beseitigt erachtet werde. Zum Recht auf Geheimhaltung fänden sich keinerlei Hinweise, dass die Auskunft an eine dritte Person weitergeleitet worden sei. Es werde um Bekanntgabe ersucht, ob die Beschwerde im Recht auf Geheimhaltung aufrechterhalten werde.
Mit E-Mail vom 30.09.2025 wandte sich der BF unter Kundgabe von Unmutsäußerungen gegen die belangte Behörde an diese und führte aus, er gehe aus Erfahrung nicht davon aus, dass die DSB eine sachlich fundierte Überprüfung von Beschwerden durchführe. Er hielt erkennbar seine Beschwerde aufrecht.
Mit dem bekämpften Bescheid wies die belangte Behörde die Beschwerde wegen Verletzung im Recht auf Auskunft und dem Recht auf Geheimhaltung als unbegründet ab und traf - neben der Wiedergabe des Auskunftsbegehrens vom 18.12.2023 und des Antwortschreibens der MB vom 10.01.2024 - folgende Feststellungen:
“Der BF hat am 18.12.2023 an die MB einen Antrag auf Auskunft gestellt.
Die MB antwortete auf das Auskunftsbegehren mit Schreiben vom 10.01.2024.
Die MB hat die personenbezogenen Daten des BF nicht an Dritte übermittelt.”
Rechtlich führte die belangte Behörde aus, da eine Übermittlung nicht festgestellt werden habe können, liege keine Verletzung im Recht auf Geheimhaltung vor.
Betreffend Verletzung des Rechts auf Auskunft gehe aus dem Akteninhalt hervor, dass die MB das Auskunftsbegehren des BF vom 18.12.2023 mit Schreiben vom 10.01.2024 vollständig beantwortet habe. Entgegen seinem Vorbringen habe der BF in seinem Auskunftsbegehren auch nicht begehrt, dass ihm die Auskunft in Form einer Kopie iSd Art. 15 Abs. 3 DSGVO erteilt werde. Sohin habe es keine Verletzung im Recht auf Auskunft gegeben.
Zur Beweiswürdigung hinsichtlich des Umstandes, dass Daten des BF nicht an Dritte übermittelt worden seien, führte die belangte Behörde aus: “Die Datenschutzbehörde folgt hier dem Vorbringen der MB. Der BF hat eine Übermittlung lediglich in den Raum gestellt, ohne auch nur ansatzweise nachvollziehbare Belege für eine Übermittlung vorzulegen bzw. sein Vorbringen dahingehend zu untermauern.”
Gegen diesen Bescheid richtet sich die als ”Einspruch bzw. Beschwerde” bezeichnete Beschwerde des BF mit dem erkennbaren Begehren auf Aufhebung und “Durchführung einer rechtstaatlich zufriedenstellenden Prüfung”. Die Beschwerde enthält zahlreiche verbale Entgleisungen und Unterstellungen gegenüber der belangten Behörde und den erkennbar unbegründeten Vorwurf, diese habe verfahrensrelevante Unterlagen nicht gelesen, wisse nicht, worum es in der Beschwerde gehe, und habe sich mit dieser nicht auseinandergesetzt.
Die belangte Behörde legte die Beschwerde samt dem Verfahrensakt - beim BVwG einlangend am 09.12.2025 - unter vollinhaltlichem Verweis auf den Bescheid vor und beantragte die Abweisung der Beschwerde.
Die Beschwerde ist nicht berechtigt:
Das Bundesverwaltungsgericht legt die von der Behörde getroffenen Feststellungen einschließlich des eingangs der Entscheidungsgründe dargestellten Auskunftsbegehrens vom 18.12.2023 und des Antwortschreibens vom 10.01.2024 auch seiner Entscheidung zugrunde.
Beweiswürdigung:
Das Auskunftsbegehren sowie die diesbezügliche Antwort der MB sind in den vorgelegten Schreiben objektiviert. Hinsichtlich der Feststellung, die MB habe die personenbezogenen Daten des BF nicht an Dritte übermittelt, hielt die belangte Behörde beweiswürdigend fest, sie folge hier dem Vorbringen der MB. Der BF habe eine Übermittlung lediglich in den Raum gestellt, ohne auch nur ansatzweise nachvollziehbare Belege für eine Übermittlung vorzulegen bzw. sein Vorbringen dahingehend zu untermauern.
Diese Beweiswürdigung der belangten Behörde ist seitens des Verwaltungsgerichts zu teilen: Eine auch nur ansatzweise Bekämpfung der von der Behörde getroffenen Feststellungen ist der (Bescheid-)Beschwerde nicht zu entnehmen. Der Beschwerde sind auch keine Ausführungen zu entnehmen, wonach entgegen den Feststellungen der belangten Behörde personenbezogene Daten des BF an Dritte übermittelt sein sollen und weshalb. Die bloße vom BF immer wieder vorgebrachte Tatsache, dass er im Antwortschreiben vom 10.01.2024 teilweise in dritter Person als „ XXXX “ oÄ angesprochen wurde, bildet gerade keinen Hinweis, dass die MB seine personenbezogenen Daten „zwangsläufig“ an Dritte weitergeleitet habe bzw. es einen „geheim gehaltene[n] dritte[n] Empfänger“ des Antwortschreibens gebe.
Rechtlich folgt:
Die Datenschutzbeschwerde umfasst sowohl die Behauptung einer Verletzung im Recht auf Auskunft als auch im Recht auf Geheimhaltung. Die belangte Behörde traf im angefochtenen Bescheid die Feststellung, eine Übermittlung von personenbezogenen Daten des BF habe nicht festgestellt werden können, sodass keine Verletzung im Recht auf Geheimhaltung vorliege. Betreffend Auskunftsverletzung hielt die belangte Behörde das Auskunftsbegehren des BF im Hinblick auf das Antwortschreiben der MB als vollständig beantwortet.
In seiner Beschwerde führt der BF zusammengefasst – soweit er sich nicht in Unmutsäußerungen und unangebrachten Verunglimpfungen der belangten Behörde sowie der MB erschöpft – aus, die MB habe die personenbezogenen Daten des BF wesentlich länger aufbewahrt, als sie erkläre, sie verfüge über unzulässige, verschwiegene Datenbanken und sie nehme Datenverarbeitungen vor, die unzulässig seien und es ihr erlaubten, anonym über eine Whistleblower-Plattform eingereichte Beschwerden sofort eindeutig den Absendern zuzuordnen. Zu diesen Beschwerdepunkten habe die MB keine Auskunft erteilt und die belangte Behörde habe sich damit nicht auseinandergesetzt. Die MB habe sich geweigert, auch nur eine banale Stellungnahme zu den skandalösen Stellenvergaben abzugeben. Die MB habe keineswegs das anonyme Einreichen von Beschwerden sichergestellt und ihr Verhalten beweise auch, dass sie entgegen ihren Erklärungen und Satzungen alle Beschwerdefälle unbegrenzt aufbewahre und nicht sofort nach Abschluss der Beschwerde lösche. Der BF verweise auf seine Datenschutzbeschwerde. Die DSB stehe mit ihrer Arbeitshaltung nicht alleine da, der Datenschutzbeauftragte in Italien ignoriere grundsätzlich alle an ihn gerichteten Beschwerden. Österreich gehöre neben Italien und Bulgarien laut internationalen Rankings zu den korruptesten Staaten in der EU.
Zunächst ist festzuhalten, dass im Hinblick auf den aktenkundigen Umstand, dass der BF als allgemein beeideter und gerichtlich zertifizierter Dolmetscher gelistet ist, im Hinblick auf seine Ausfälle gegen Parteien und Behörden die entsprechenden Informationen an die zuständigen Stellen erfolgen werden.
Mit seiner Ausführung, der Bescheid der belangten Behörde solle wegen unterlassener Überprüfung all seiner Beschwerdepunkte aufgehoben und eine rechtstaatlich zufriedenstellende Prüfung durchgeführt werden, erweist sich das Begehren als gerade noch formal tauglich.
Zunächst ist angesichts der von der belangten Behörde getroffenen und vom Verwaltungsgericht (wie in der Beweiswürdigung dargelegt) bestätigten Negativfeststellung zur behaupteten Weitergabe von Daten an Dritte festzuhalten, dass damit eine solche Weitergabe nicht erwiesen ist und die belangte Behörde insofern zu Recht eine Verletzung des BF im Recht auf Geheimhaltung nicht feststellte.
Hinsichtlich der von der belangten Behörde im Weiteren geprüften Vollständigkeit der erteilten Auskunft führt der BF in der Bescheidbeschwerde aus, die MB bewahre personenbezogene Daten (des BF) wesentlich länger auf, als sie erkläre, und wendet sich somit erkennbar gegen eine angebliche Unrichtigkeit der erteilten Auskunft in Bezug auf die Speicherdauer bzw. die Löschfristen. Insofern ist aber nicht erkennbar (und wurde vom BF auch in seiner Beschwerde nicht konkret vorgebracht), dass insbesondere das Antwortschreiben der MB vom 06.12.2024 unrichtig wäre: Dort teilt die MB dem BF konkret mit, dass die Unterlagen zu seiner Anfrage vom 16.10.2021, die am 19.01.2022 abgeschlossen worden sei, plangemäß per 19.01.2025 gelöscht werden würden. Ersichtlich hat die MB also für diese personenbezogenen Daten des BF eine dreijährige Löschfrist nach Abschluss der Bearbeitung der Anfrage definiert. Inwiefern die MB die Daten des BF „wesentlich länger aufbewahrt, als sie erklärt“, ist vor diesem Hintergrund nicht ersichtlich, zumal der BF nicht etwa geltend macht, die MB hätte die Daten per 19.01.2025 entgegen ihrer Erklärung nicht gelöscht. Das wäre im Übrigen auch nicht Gegenstand des Beschwerdeverfahrens.
Darüber hinaus machte der BF weder in seiner Bescheidbeschwerde noch in erster Instanz eine konkrete Unvollständigkeit der erhaltenen Auskunft, gemessen an dem mit Schreiben vom 18.12.2023 an die MB gerichteten Auskunftsbegehren, geltend. Wenn er die aus seiner Sicht unzulässig lange Speicherdauer seiner Daten moniert, so wird damit gerade keine Unrichtigkeit der Auskunft releviert, weil auch eine Auskunft über eine allenfalls rechtswidrige Datenverarbeitung insofern der Wahrheit entspricht, als eben diese Datenverarbeitung beauskunftet wird.
Was die aus Sicht des BF unzulässige „Verknüpfung“ seiner anonym eingebrachten Beschwerden mit seiner Identität betrifft, so hat die MB auch insofern Auskunft erteilt, warum diese Verknüpfung aus ihrer Sicht statthaft gewesen sei („Sie haben Ihre Identität durch Angaben in den Meldungen selbst sowie den zugehörigen Anlagen eindeutig identifizierbar gemacht (…)“, Antwortschreiben vom 10.01.2024). Im Hinblick auf das konkrete mit Schreiben vom 18.12.2023 an die MB gerichtete Auskunftsbegehren ist nicht ersichtlich, dass dieses mit den beiden Schreiben der MB vom 10.01.2024 und vom 06.12.2024 nicht vollständig beantwortet worden wäre. Im Ergebnis ist daher mit der belangten Behörde von einer Vollständigkeit der erteilten Auskunft auszugehen.
Wenn der BF in der Beschwerde drittens releviert, die MB verfüge über unzulässige, verschwiegene Datenbanken und nehme Datenverarbeitungen vor, die unzulässig seien und es ihr erlaubten, anonym über eine Whistleblower-Plattform eingereichte Beschwerden sofort eindeutig den Absendern zuzuordnen, so ist insofern zunächst auf den Bescheidgegenstand zu verweisen, weil "Sache" des Beschwerdeverfahrens nur jene Angelegenheit ist, die den Inhalt des Spruchs des Bescheids der vor dem VwG belangten Behörde gebildet hat (VwGH Ro 2023/04/0012): Die belangte Behörde wies im Spruch des angefochtenen Bescheides die Datenschutzbeschwerde des BF „wegen Verletzung im Recht auf Auskunft und im Recht auf Geheimhaltung“ ab. Aus der rechtlichen Beurteilung der Behörde geht hervor, dass eine Verletzung im Recht auf Geheimhaltung im Hinblick auf die vom BF behauptete unzulässige Übermittlung seiner Daten an Dritte geprüft wurde (s. auch die entsprechende Negativfeststellung im Bescheid zu C.3), während eine Verletzung im Recht auf Auskunft im Hinblick auf die Vollständigkeit der erteilten Auskunft angenommen wurde. Nicht geprüft hat die Behörde hingegen die Frage, ob personenbezogene Daten des BF unzulässig lange gespeichert bzw. im Zusammenhang mit seinen anonym eingebrachten Beschwerden unzulässigerweise verknüpft worden seien. Zwar findet sich im Bescheid unter „B. Beschwerdegegenstand“ auch die unrechtmäßige Verknüpfung („indem die Beschwerdegegnerin seine personenbezogenen Daten unrechtmäßig verknüpft (…) hat“). Dieser „Ankündigung“ einer entsprechenden Prüfung korrespondiert aber weder in den Sachverhaltsfeststellungen noch in der rechtlichen Beurteilung eine tatsächliche Prüfung, sodass auch mangels eines konkreten Anhaltspunktes im Spruch davon auszugehen ist, dass der Bescheid die Fragen der unzulässigen Speicherung bzw. Verknüpfung nicht behandelt, die belangte Behörde also insofern über die Datenschutzbeschwerde noch nicht abgesprochen hat.
Selbst wenn man aber davon ausginge, dass die eben genannten Fragen im Bescheid mitbehandelt werden und daher auch Gegenstand des gerichtlichen Beschwerdeverfahrens sind, wäre die Abweisung der Datenschutzbeschwerde aus folgenden Erwägungen auch insofern zu bestätigen:
Gemäß Art. 5 Abs. 1 DSGVO müssen personenbezogene Daten
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Art. 89 Abs. 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Art. 89 Abs. 1 verarbeitet werden („Speicherbegrenzung“);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).
Gemäß Abs. 2 ist der Verantwortliche für die Einhaltung des Abs. 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).
Der Grundsatz der Datenminimierung ist Ausdruck der Verhältnismäßigkeit und verlangt, die Verarbeitung personenbezogener Daten auf das Unvermeidbare zu reduzieren. Erst der Grundsatz der Datenminimierung belegt einen wesentlichen Aspekt der Zweckbindung: Er stellt sicher, dass die Verarbeitung durch den festgelegten Zweck tatsächlich begrenzt wird (Hötzendorfer/Kastelitz/Tschohl in Knyrim, DatKomm Art 5 DSGVO (Stand 1.10.2025, rdb.at), Rz 34).
Der Grundsatz der Speicherbegrenzung konkretisiert den Grundsatz der Datenminimierung in Bezug auf die Speicherdauer. Diese ist auf das unbedingt erforderliche Mindestmaß zu beschränken. Mit dem EuGH ist in Zusammenschau von Art. 5 Abs. 1 lit. c bis e darauf hinzuweisen, dass selbst eine ursprünglich zulässige Verarbeitung korrekter Daten im Laufe der Zeit mit der DSGVO unvereinbar werden kann, wenn die Daten im Hinblick auf die Zwecke, für die sie erhoben oder verarbeitet wurden, nicht mehr erforderlich sind. Das ist insbesondere der Fall, wenn sie diesen Zwecken in Anbetracht der verstrichenen Zeit nicht entsprechen, dafür nicht oder nicht mehr erheblich sind oder darüber hinausgehen (wie oben, Rz 49). Bereits bei Erhebung von Daten ist zu prüfen, ob der Verarbeitungszweck unmittelbar nach der Erhebung - und gegebenenfalls Auswertung - der Daten bereits erfüllt ist, sodass sie sofort wieder gelöscht werden können. Werden Daten gespeichert, ist bereits zu diesem Zeitpunkt festzulegen, nach welcher Frist sie wieder gelöscht werden. Wenn die Festlegung einer Frist nicht konkret möglich ist, sind die Kriterien festzulegen, nach denen sich der Zeitpunkt der Löschung bestimmt. Die Festlegung der Fristen bzw. Kriterien bedarf daher meist einer Einzelfallbetrachtung, in der die Erforderlichkeit der Aufbewahrung von Daten anhand der Verarbeitungszwecke beurteilt wird. In sachlich begründeten Ausnahmefällen kann eine Verarbeitung auch für eine nicht eingrenzbare Dauer zulässig sein, beispielsweise die öffentliche Bereitstellung von Beschlussprotokollen als Ausfluss des (zeitlich nicht eingrenzbaren) demokratischen Prinzips. Bei manchen Verarbeitungen, die in Erfüllung einer rechtlichen Verpflichtung gemäß Art. 6 Abs. 1 lit. c erfolgen, ergibt sich die Aufbewahrungsfrist bzw. Löschpflicht unmittelbar aus dem Gesetz. Häufig wirken gesetzliche Bestimmungen mittelbar auf die Festlegung der Frist, wie zum Beispiel Nachweispflichten, insbesondere auch die datenschutzrechtliche Rechenschaftspflicht sowie Verjährungsfristen von Rechtsansprüchen, die potenziell gegenüber dem Verantwortlichen geltend gemacht werden können. Bei der Aufbewahrung von Daten für solche Zwecke handelt es sich in der Regel nicht bloß um eine Ausnahme von der Löschpflicht gemäß Art. 17 Abs. 3 lit. b oder e, sondern um eine eigenständige Verarbeitung mit eigenständigem Zweck auf der Grundlage von Art. 6 Abs. 1 lit. f. Hier besteht in vielen Fällen ein gewichtiges berechtigtes Interesse des Verantwortlichen, Daten zum Nachweis rechtserheblicher Tatsachen vorzuhalten, für den Fall dass beispielsweise ein abgewiesener Bewerber oder ein Kunde Ansprüche gegenüber dem Verantwortlichen geltend macht. Auch nach eher restriktiven Aussagen in der Rechtsprechung des VfGH und der DSB besteht nach wie vor Raum dafür, personenbezogene Daten für den Zweck der Rechtsverfolgung aufzubewahren. Der Grundsatz der Speicherbegrenzung ist nicht so auszulegen, dass aufgrund von Datenlöschungen die Chancengleichheit vor Gericht eingeschränkt wird. Es besteht allerdings nur ein ex ante zu beurteilendes, berechtigtes Interesse an der Aufbewahrung von Daten, die für den Nachweis rechtserheblicher Tatsachen erforderlich sein können (wie oben, Rz 50).
Ausdrücklich führt der BF in der Beschwerde aus, die MB bewahre entgegen ihren Erklärungen und Satzungen alle Beschwerdefälle unbegrenzt auf und lösche diese nicht sofort nach Abschluss der Beschwerde. Der BF führt an keiner Stelle konkret aus, auf welche seiner allenfalls personenbezogenen Daten sich seine Ausführungen beziehen. Die MB führte zum diesbezüglichen Vorwurf des BF in erster Instanz aus, personenbezogene Daten würden so lange aufbewahrt, wie es die Aufklärung und abschließende Beurteilung des Hinweises erforderten oder ein berechtigtes Interesse der MB bestehe oder dies aufgrund des Gesetzes erforderlich sei. Konkret würden die Unterlagen zu seiner Anfrage vom 16.10.2021 (abgeschlossen am 19.1.2022) „plangemäß per 19.1.2025“ gelöscht.
Nach den auf der Homepage der MB öffentlich einsehbaren Vereinsstatuten im Sinne des Vereinsgesetzes 2002 wird der Vereinszweck gemäß § 2 wie folgt definiert:
Der Verein, dessen Tätigkeit nicht auf Gewinn gerichtet ist, hat den Zweck, ausschließlich und unmittelbar
a.) Wissenschaft und Forschung durch die Sicherstellung guter wissenschaftlicher Praxis zu fördern;
b) die Methodik zur Sicherstellung kulturwissenschaftlicher Praxis zu erforschen und zu dokumentieren;
c) durch die Kommission für wissenschaftliche Integrität (§ 16) unabhängige Untersuchungsverfahren zu gewährleisten, soweit die Mitglieder diese Aufgabe über die in § 6 festgelegten Mindeststandards hinaus nicht selber wahrnehmen können;
d) die Grundsätze der wissenschaftlichen Integrität in der öffentlichen Diskussion zu verankern und zu verteidigen.
§ 3 - Tätigkeiten zur Verwirklichung des Vereinszwecks:
Die Mitglieder und Organe des Vereins arbeiten in geeigneter Weise zusammen, um den Vereinszweck insbesondere durch folgende Tätigkeiten zu verwirklichen:
… d) Betrieb einer Service- und Informationsstelle für an der Sicherstellung guter wissenschaftlicher Praxis interessierte Personen und Organisationen;
e) Funktion als Anlaufstelle für Personen oder Institutionen, die die Regeln guter wissenschaftlicher Praxis verletzt sehen und jene, denen vorgeworfen wird, diese verletzt zu haben; …
In der Anlage zum Schreiben vom 06.12.2024 übermittelte die MB dem BF auch den Schrift- bzw. E-Mail-Verkehr des BF mit der MB zwischen 16.10.2021 und 19.01.2022. Es handelt sich dabei offenbar nicht nur um Eingaben des BF mit konkreten Vorhalten gegen Universitäten, insbesondere im Hinblick auf Stellenvergabe, sondern wurde die MB dabei in ihrer nach den Statuten unter § 3 lit e genannten Funktion als Anlaufstelle für Personen oder Institutionen, die die Regeln guter wissenschaftlicher Praxis verletzt sehen und jenen, denen vorgeworfen wird, diese verletzt zu haben, tätig, wobei die MB die Eingaben des BF durchaus thematisch darüberhinausgehend ansah. Im Hinblick auf die in seinen Eingaben gepflogene konfliktbeladene, an- bis untergriffige Kommunikationsweise (23.12.2021: „offenbar weiß die XXXX nicht wirklich, wie man mit fundierten Beschwerden umgehen soll“; 19.01.2022: „Mir ist, wie auch vielen anderen Akademikern, nicht klar, was XXXX sein soll“; 19.01.2022: „Es ist mir zu mühsam, alle Ihre Ausführungen zu korrigieren. (…) Das Telefonat war höchst ermüdend und inhaltslos und ich versuchte erfolglos, das Endlos-Gespräch höflich zu beenden, weil Sie quälend lange Monologe hielten (…) Ihr neuer Vorschlag (…) halte ich für völlig sinnlos (…)“) ist in einer Einzelfallbetrachtung nicht davon auszugehen, dass die MB mit der Aufbewahrung dieser Kommunikation über den Zeitraum von knapp zwei Jahren bis zum Eingang des gegenständlichen Auskunftsbegehrens den Grundsatz der Speicherbegrenzung verletzt hat, zumal aus Sicht der MB durchaus anzunehmen war, dass sich der BF in dieser Sache wieder bei ihr melden oder sogar mit rechtlichen Mitteln gegen die aus seiner Sicht nicht erfolgte Bearbeitung seiner Beschwerde vorgehen könnte. Ab dem Zeitpunkt des Auskunftsbegehrens bzw. des vor der Datenschutzbehörde geführten Verfahrens hatte die MB schon zur Verfügbarhaltung der für die Verfahrensführung erforderlichen Informationen jedenfalls den ersichtlichen Grund, diese Kommunikation weiter zu speichern.
Soweit sich der BF in der Beschwerde darauf bezieht, die MB habe sich geweigert, zu den drei „skandalösen“ Stellenvergaben „auch nur eine banale Stellungnahme“ abzugeben, zeigt er nicht ansatzweise Umstände auf, die Datenschutzverletzungen begründen könnten, zumal die Nichtabgabe von Stellungnahmen das Datenschutzrecht nicht berührt.
Soweit der BF letztlich behauptet, die MB nehme mit der von ihr eingerichteten Whistleblower-Plattform unzulässige Datenverarbeitungen vor, weil sie über diese Plattform eingebrachte Beschwerden konkreten Absendern zuordne, so ist darauf hinzuweisen, dass die MB bereits im Antwortschreiben vom 10.01.2024 darauf hingewiesen hat, dass ihr Datenschutzhinweis folgenden Hinweis enthält: „Hinweise zum Versand von Anhängen…. Wenn Sie anonym eine Meldung abgeben möchten, beachten Sie bitte den folgenden Sicherheitshinweis: Dateien können versteckte personenbezogene Daten enthalten, die Ihre Anonymität gefährden. Entfernen Sie diese Daten vor dem Versenden …“.
Diesem Hinweis entgegen enthielten die Anlagen zur Beschwerde vom 27.06.2023 über eine Doppel-Stellenvergabe am XXXX im XXXX beispielsweise die Ausführungen: „Ich habe gleich im Anschluss zwei Tabellen angefügt, aus der Sie rasch und überblicksmäßig ersehen, dass weder XXXX noch XXXX auch nur in einem einzigen Kriterium meiner Bewerbung bzw. meinen Qualifikationen überlegen gewesen wären (…)“ (Hervorhebung durch Gericht). Aus den direkt im Anschluss dargestellten Tabellen, in denen ein „ XXXX “ ausführlich mit den beiden Stellengewinnerinnen verglichen wird, war die Identität des „anonymen“ Beschwerdeverfassers für die MB unschwer erkennbar.
Die Beschwerde des BF vom 02.07.2023 wiederum enthält bereits auf Seite 2 den Satz „Als Stipendiat der Akademie der Wissenschaften legte ich ein XXXX ab (…)“ (Hervorhebung durch Gericht), sodass im Zusammenhalt mit der in der Vergleichstabelle im Anhang genannten Qualifikation des „ XXXX “ eines „ XXXX “ auch hier für die MB bereits ohne Rückgriff auf die gespeicherten Inhalte der Kommunikation mit dem BF in den Jahren 2021/22 unschwer erkennbar war, dass der Verfasser der Beschwerde auch diesfalls der BF war.
Durch den theoretischen Hinweis, beim Namen „ XXXX “ könne es sich auch um eine andere Identität handeln, weil es mehrere solche Namensträger gebe, gelingt es dem BF nicht aufzuzeigen, dass es der MB unter Zugrundelegung der Inhalte seiner gerade nicht „anonymen“ Beschwerden, aber auch des bereits in der Vergangenheit geführten Schriftverkehrs im Zusammenhalt mit dem Duktus der aktuellen Beschwerden vernünftigerweise nicht möglich gewesen sein sollte, den „anonymen“ Beschwerdeführer als den BF zu identifizieren. Indem der BF selbst seinen „anonymen“ Beschwerden Unterlagen beifügte, die eine Identifikation auch unabhängig vom Zusammenhalt mit bereits gespeicherten Unterlagen ermöglichte, zeigt der BF nicht auf, dass die MB dadurch die zugesicherte Anonymität seiner „Whistleblower“-Beschwerden verletzt hätte, dass sie in diesem Zusammenhang den BF identifizierte und mit diesem über E-Mail Kontakt aufnahm.
Insgesamt hat der BF daher in seiner Beschwerde nicht dargelegt, dass die belangte Behörde die Datenbeschwerde zu Unrecht als unbegründet abgewiesen hätte, sodass der Beschwerde kein Erfolg zukommt.
Eine mündliche Verhandlung wurde nicht beantragt und ist im Hinblick auf den Umstand, dass weitere Sachverhaltselemente nicht zu klären sind und eine Erörterung nicht erforderlich ist, nicht notwendig.
Der Ausspruch der Unzulässigkeit der Revision gründet auf dem Umstand, dass aufgrund der dargestellten Rechtslage im Einzelfall entschieden wurde und keine Rechtssache von grundsätzlicher Bedeutung vorliegt.
Rückverweise
RIS