E1734/2025 – Verfassungsgerichtshof (VfGH) Entscheidung

I. Die beschwerdeführende Partei ist durch das angefochtene Erkenntnis in den verfassungsgesetzlich gewährleisteten Rechten auf Gleichheit aller Staatsbürger vor dem Gesetz gemäß Art7 BVG und Art2 StGG sowie auf Achtung der Universitätsautonomie gemäß Art81c Abs1 B VG verletzt worden.

Das Erkenntnis wird aufgehoben.

II. Der Bund (Bundesministerin für Justiz) ist schuldig, der beschwerdeführenden Partei zuhanden ihres Rechtsvertreters die mit € 2.856,- bestimmten Prozesskosten binnen 14 Tagen bei sonstiger Exekution zu ersetzen.

Entscheidungsgründe

I. Sachverhalt und Verfahrensgang

1. Am 4. Juli 2023 fand im Department für Musikwissenschaft der Universität Mozarteum Salzburg eine Departmentsitzung statt, die von der Departmentleiterin aufgezeichnet wurde, ohne die Teilnehmer vorab darüber zu informieren. Die Departmentleiterin fertigte mit ihrem Laptop eine Audioaufnahme der Gespräche im Rahmen der Departmentsitzung an und speicherte diese. Der Vorgang der Aufzeichnung war für die Teilnehmer daher auch nicht offensichtlich erkennbar. In weiterer Folge übermittelte die Departmentleiterin die Audioaufnahme zur Erleichterung der Protokollierung per E-Mail dem Schriftführer, der die Departmentsitzung protokollierte. Die Audioaufnahme wurde am 28. November 2023 gelöscht.

Am 25. August 2023 wurde im Mitteilungsblatt der Universität Mozarteum Salzburg der Beschluss des Rektorats betreffend die "Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments an der Universität Mozarteum Salzburg" veröffentlicht. Im Zuge dieser Änderung der Richtlinie wurden Audioaufzeichnungen im Rahmen der Departmentsitzung für Zwecke der Protokollierung als zulässig erklärt.

Am 14. September 2023 wurde im Mitteilungsblatt der Universität Mozarteum Salzburg der Beschluss des Rektorats betreffend den "Verhaltenskodex – Code of Conduct der Universität Mozarteum Salzburg" veröffentlicht. Dieser erlaubte Ton-, Bild- und Videoaufnahmen – auch ohne vorherige Einwilligung der aufgenommenen Person – im Falle einer Aufzeichnung für Zwecke der Protokollierung von Sitzungen.

Am 28. November 2023 fand im Department für Musikwissenschaft der Universität Mozarteum Salzburg erneut eine Departmentsitzung statt, die wiederum von der Departmentleiterin aufgezeichnet wurde. Die technische Durchführung der Aufzeichnung erfolgte so wie jene am 4. Juli 2023. Die Audioaufnahme vom 28. November 2023 wurde danach ebenfalls gelöscht.

2.1. Mit Eingabe vom 29. November 2023 erhob *** Datenschutzbeschwerde sowohl gegen die Universität Mozarteum Salzburg als auch gegen die Departmentleiterin des Departments für Musikwissenschaft und brachte darin im Wesentlichen vor, dass er durch die – ohne seine Zustimmung erfolgte – Aufzeichnung der Departmentsitzung am 4. Juli 2023 in seinem Recht auf Geheimhaltung verletzt worden sei. An der Departmentsitzung am 28. November 2023 habe er hingegen aus Termingründen nicht teilnehmen können.

2.2. Mit Bescheid vom 5. September 2024 gab die Datenschutzbehörde der Datenschutzbeschwerde statt und stellte fest, dass die Universität Mozarteum Salzburg *** durch eine von der Departmentleiterin rechtsgrundlos angefertigte Audioaufnahme der Departmentsitzung am 4. Juli 2023 sowie durch deren anschließende Weiterleitung an eine dritte Person im Recht auf Geheimhaltung verletzt habe (Spruchpunkt 1.). Im Übrigen wurde die Beschwerde gegen die Universität Mozarteum Salzburg abgewiesen (Spruchpunkt 2.), ebenso die Beschwerde gegen die Departmentleiterin (Spruchpunkt 3.), die Universität Mozarteum Salzburg aber hinsichtlich der von der Departmentleiterin rechtsgrundlos angefertigten Audioaufnahme der Departmentsitzung vom 28. November 2023 gemäß Art58 Abs2 litb DSGVO verwarnt (Spruchpunkt 4.) und der Antrag von *** auf Verhängung einer Geldbuße zurückgewiesen (Spruchpunkt 5.).

In der Begründung führt die Datenschutzbehörde im Wesentlichen aus, dass die Departmentleiterin zwar nicht als datenschutzrechtlich Verantwortliche iSd Art4 Z7 DSGVO, aber nach den einschlägigen Bestimmungen des BVG, des UG und des Organisationsplans als monokratisches Organ der Universität Mozarteum Salzburg zu qualifizieren sei. Die Verarbeitung von personenbezogenen Daten durch monokratische universitäre Organe sei gemäß §6 Abs9 UG der Universität als Verantwortliche zuzurechnen, weshalb eine datenschutzrechtliche Verantwortlichkeit der Universität Mozarteum Salzburg für die Audioaufnahmen im Rahmen der Departmentsitzungen vorliege.

2.2.1. Die Datenverarbeitung durch eine Körperschaft des öffentlichen Rechts sei nur auf Grund einer gesetzlichen Grundlage iSd §1 Abs2 DSG zulässig. Eine solche liege im vorliegenden Fall jedoch nicht vor. Da der Beschluss des Rektorats betreffend die "Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments an der Universität Mozarteum Salzburg" erst nach der Departmentsitzung am 4. Juli 2023 – nämlich am 25. August 2023 – erfolgt sei, scheide dieser als Rechtsgrundlage iSd §1 Abs2 DSG für die Audioaufnahme im Rahmen der Departmentsitzung am 4. Juli 2023 aus.

2.2.2. Im Übrigen komme diesem Beschluss des Rektorats keine Verordnungsqualität zu. Der Beschluss des Rektorats betreffend den "Verhaltenskodex – Code of Conduct der Universität Mozarteum Salzburg" stelle ebenfalls keine geeignete Rechtsgrundlage dar. Mangels der Einordnung der Departmentsitzung oder des Departments als "Kollegialorgan" könne auch eine Bestimmung der Geschäftsordnung des Senats nicht zur Anwendung kommen. Gleichermaßen unbeachtlich sei §20 Abs3a UG, der schon nach dessen Wortlaut nur für die Sitzungen von Kollegialorganen gelte. Auch ein anderer Erlaubnistatbestand sei nicht vorgelegen.

Daraus folge, dass die Audioaufnahmen im Rahmen der Departmentsitzungen am 4. Juli 2023 und am 28. November 2023 ohne gesetzliche Grundlage iSd §1 Abs2 DSG und somit rechtsgrundlos erfolgt seien.

2.2.3. Aber selbst unter der (alternativen) Annahme, dass die beiden Beschlüsse des Rektorats als Verordnungen zu qualifizieren wären, hätten diese auf Grund des Grundsatzes des Vorranges des Unionsrechts wegen eines offenkundigen Widerspruches zur DSGVO unangewendet zu bleiben. In diesen Beschlüssen gebe es keinerlei Vorgaben, die die Einhaltung des Transparenzgrundsatzes und des Grundsatzes der Verarbeitung nach Treu und Glauben gegenüber Betroffenen in irgendeiner Weise gewähren würden. Insbesondere sollen geheime Tonaufnahmen im Rahmen von Departmentsitzungen weiterhin ermöglicht werden, was jedoch unzulässig wäre. Zudem sei der dadurch bewirkte Grundrechtseingriff unverhältnismäßig, weil er deutlich schwerer wiege als die Praktikabilität bzw Zweckdienlichkeit bei der Protokollerstellung.

3. Mit Erkenntnis des Bundesverwaltungsgerichtes vom 2. Mai 2025 wurde die gegen die Spruchpunkte 1. und 4. dieses Bescheides von der Universität Mozarteum Salzburg erhobene Beschwerde nach Durchführung einer mündlichen Verhandlung als unbegründet abgewiesen.

In der Begründung führt das Bundesverwaltungsgericht im Wesentlichen aus, dass es sich bei den Audioaufnahmen, die von der Departmentleiterin im Rahmen der Departmentsitzungen am 4. Juli 2023 und am 28. November 2023 angefertigt wurden, um eine Verarbeitung von personenbezogenen Daten gemäß Art4 Z1 DSGVO handle. Diese Datenverarbeitungen seien gemäß §6 Abs9 UG der Universität Mozarteum Salzburg als datenschutzrechtlich Verantwortliche iSd Art4 Z7 DSGVO zuzurechnen.

Bei der Departmentsitzung handle es sich nicht um ein (weisungsfreies) Kollegialorgan. Ein weisungsfreies Kollegialorgan könne nur durch den Senat der Universität eingerichtet werden. Als Kollegialorgan iSd §20 Abs3 UG seien etwa der Arbeitskreis für Gleichbehandlungsfragen, die Schiedskommission, Prüfungssenate sowie der Gründungssenat anzusehen, nicht jedoch Departments, die in §20 Abs4 UG explizit nicht als Kollegialorgan, sondern als Organisationseinheit angeführt seien. Die Leitung der Departments sei monokratisch organisiert. Nach dem Organisationsplan der Universität Mozarteum Salzburg sei es Aufgabe der Departmentleitung, ein Kommunikations- und Koordinierungsinstrumentarium – die Departmentsitzung – einzurichten.

Damit fehle es an einem gemäß §25 Abs7 UG vom Senat eingerichteten und weisungsfreien Kollegialorgan. Zudem handle es sich um keines der in §25 Abs8 UG verpflichtend vorgesehenen Kollegialorgane, welche auch in der Satzung der Universität Mozarteum Salzburg bereits vorgesehen wären. Auch die Ableitung der Departmentsitzung als Kollegialorgan aus dem Organisationsplan scheide somit aus.

Die Verarbeitung personenbezogener Daten im Rahmen der Departmentsitzungen sei nur zulässig, wenn sie auf Grund einer der in Art6 DSGVO genannten Erlaubnistatbestände erfolge. Ein solcher liege jedoch im vorliegenden Fall nicht vor.

Da die Beschlüsse des Rektorats betreffend die "Änderung der Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments an der Universität Mozarteum Salzburg" sowie den "Verhaltenskodex – Code of Conduct der Universität Mozarteum Salzburg" erst nach der Departmentsitzung am 4. Juli 2023 veröffentlicht worden seien, würden diese schon alleine deshalb nicht als mögliche Rechtsgrundlage gemäß Art6 Abs1 lite DSGVO für die Datenverarbeitung im Rahmen der Departmentsitzung am 4. Juli 2023 in Betracht kommen.

Da die beiden Beschlüsse des Rektorats der Universität Mozarteum Salzburg nicht als Verordnungen zu qualifizieren seien, würden sie aber auch keine geeignete Rechtsgrundlage iSd Art6 Abs1 lite DSGVO für die Verarbeitung personenbezogener Daten im Rahmen der Departmentsitzung am 28. November 2023 darstellen. Eine Qualifikation der beiden Beschlüsse als Bestandteil der Satzung (und damit als Verordnung) komme schon deshalb nicht in Betracht, weil die Satzung gemäß §19 Abs1 UG nur vom Senat (auf Vorschlag des Rektorats) erlassen werden könne. Weiters fehle es den beiden Beschlüssen an der Außenwirkung, weil sie sich ausschließlich an Angehörige des Departments bzw Bedienstete der Universität richten und internes Verhalten regeln würden. Es sei daher davon auszugehen, dass das Rektorat mit diesen Beschlüssen keine Verordnungen, sondern generelle Weisungen erlassen habe.

4. Gegen dieses Erkenntnis hat die Universität Mozarteum Salzburg, vertreten durch das Rektorat, Beschwerde gemäß Art144 B VG an den Verfassungsgerichtshof erhoben.

In ihrer Beschwerde macht die Universität Mozarteum Salzburg geltend, dass sie durch das Erkenntnis des Bundesverwaltungsgerichtes in ihren verfassungsgesetzlich gewährleisteten Rechten, insbesondere im verfassungsgesetzlich gewährleisteten Recht auf Achtung der Universitätsautonomie und der nach Art81c Abs1 zweiter Satz B VG gewährleisteten Satzungsfreiheit verletzt werde.

Auf Grund der verfassungsgesetzlich gewährleisteten Universitätsautonomie stehe es Universitäten zu, ihre Organisation im Rahmen der Gesetze – insbesondere der Vorgaben des UG – weitestgehend selbst zu regeln.

Der Satzungsbegriff des Art81c Abs1 BVG sei weiter als jener des §19 UG. Satzungen iSd Art81c BVG seien selbständige Verordnungen, die sich auf alle universitätsinternen Angelegenheiten beziehen könnten, soweit sie nicht bereits durch Gesetze oder durch staatliche, auf das UG gestützte Verordnungen eine Regelung erfahren hätten. Dazu würden neben der Satzung nach §19 UG etwa auch der Organisationsplan oder andere generelle Rechtsakte einer Universität gehören. Universitäten hätten daher – im Unterschied zu Verwaltungsbehörden, die Verordnungen nach Art18 B VG nur auf Grund einer gesetzlichen Ermächtigung erlassen dürften – die Möglichkeit zur Setzung von generellen Rechtsakten, sofern dabei keinen Gesetzen widersprochen werde. Satzungen, Richtlinien oder andere generelle Rechtsakte von Universitäten würden also keiner ausdrücklichen gesetzlichen Ermächtigung bedürfen.

Aus Art81c Abs1 dritter Satz BVG ergebe sich keinesfalls, dass die Satzung ausschließlich vom Senat erlassen werden dürfe. Zur Satzung würden sämtliche generelle Rechtsakte einer Universität gehören – unabhängig davon, ob diese vom Senat oder vom Rektorat erlassen würden. Andernfalls wäre §19 UG verfassungswidrig.

Weiters folge aus dem autonomen Satzungsrecht der Universitäten auch deren Befugnis, ihre innere Organisation im Rahmen der Gesetze frei zu gestalten. Universitäten dürften im Rahmen ihrer Autonomie auch gesetzlich nicht vorgesehene Organisationseinheiten bzw Organe vorsehen. Im Organisationsplan der Universität Mozarteum Salzburg, der vom Rektorat erstellt und mit Beschluss des Universitätsrats genehmigt worden sei, sei festgelegt, dass die Departmentleitung eine Departmentsitzung einzurichten habe. Der Organisationsplan sei Teil der Satzung der Universität iSd Art81c Abs1 erster Satz B VG.

Da die Departmentsitzung als Kollegialorgan eingerichtet worden sei und Mitglieder universitärer Kollegialorgane verfassungsunmittelbar durch Art81c Abs1 dritter Satz B VG weisungsfrei gestellt seien, könne es sich bei den Beschlüssen des Rektorats um keine Weisungen, sondern nur um Verordnungen ("Satzungen") iSd Art81c Abs1 zweiter Satz B VG handeln.

Vor diesem Hintergrund liege daher eine geeignete Rechtsgrundlage für die Audioaufzeichnungen der Departmentsitzung an der Universität Mozarteum Salzburg vor.

5. Das Bundesverwaltungsgericht hat die Gerichts- und Verwaltungsakten vorgelegt, von der Erstattung einer Gegenschrift aber abgesehen.

Die Datenschutzbehörde hat eine Gegenschrift erstattet, in der sie der Beschwerde wie folgt entgegentritt:

Verordnungen von Universitätsorganen würden zwar in den in Art81c Abs1 B VG umschriebenen Angelegenheiten keiner gesetzlichen Grundlage iSd Art18 Abs2 B VG bedürfen, solange sie nicht gegen bestehende Gesetze verstoßen. Abgesehen von dieser "gelockerten" Gesetzesbindung gemäß Art81c Abs1 B VG würden für die Satzung aber alle verfassungsrechtlichen Regelungen gelten, die auch für andere Verordnungen gelten.

Das Recht auf Selbstverwaltung bzw Autonomie entbinde daher in keiner Weise von sonstigen verfassungsrechtlichen Bestimmungen oder Anforderungen. Folglich könne nach Ansicht der Datenschutzbehörde alleine auf Grund des Umstandes, dass einer klar internen und nicht außenwirksamen Regelung einer Universität keine Verordnungsqualität zuerkannt werde, noch kein Verstoß gegen deren Satzungsautonomie begründet werden.

Auch aus dem Argument der Beschwerdeführerin, dass das Rektorat gegenüber den Mitgliedern der Departmentsitzung nicht weisungsbefugt sei, könne nicht abgeleitet werden, dass es sich im Umkehrschluss um eine bindungswirksame Außennorm handeln müsse. Vielmehr würde die mangelnde Verbindlichkeit einer Regelung diese zu einer bloßen Mitteilung, Empfehlung oder dgl., keinesfalls aber zu einer Verordnung machen.

Im Übrigen handle es sich bei den von der Beschwerdeführerin abseits von Art81c B VG geltend gemachten Verstößen lediglich um die Folge einer allenfalls unrichtigen Auslegung einfachgesetzlicher Normen, die vom Verfassungsgerichtshof nicht aufzugreifen wäre.

II. Rechtslage

1. Die maßgeblichen Bestimmungen der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung – DSGVO), ABl. 2016 L 119, 1 lauten auszugsweise wie folgt:

"Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1. 'personenbezogene Daten' alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden 'betroffene Person') beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;

2. 'Verarbeitung' jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;

3. […]

7. 'Verantwortlicher' die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. […]

[…]

Artikel 6

Rechtmäßigkeit der Verarbeitung

(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben

b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;

d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;

e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2) […]

(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

a) Unionsrecht oder

b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und -verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.

(4) […]"

2. Die maßgeblichen Bestimmungen des Bundesgesetzes über die Organisation der Universitäten und ihre Studien (Universitätsgesetz 2002 – UG), BGBl I 120/2002, idF BGBl I 50/2024 lauten auszugsweise wie folgt:

" Geltungsbereich

§6. (1) […]

(9) Hinsichtlich der Verarbeitung personenbezogener Daten durch die Universität und der universitären Organe ist die Universität Verantwortlicher im Sinne des Art4 Z7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG [Datenschutz-Grundverordnung], ABl. Nr L 119 vom 04.05.2016 S. 1, [im Folgenden: DSGVO].

[…]

Satzung

§19. (1) Jede Universität erlässt durch Verordnung (Satzung) die erforderlichen Ordnungsvorschriften im Rahmen der Gesetze und Verordnungen selbst. Die Satzung ist vom Senat auf Vorschlag des Rektorats mit einfacher Mehrheit zu beschließen und zu ändern.

(2) In der Satzung sind insbesondere folgende Angelegenheiten zu regeln:

1. Wahlordnung für die Wahl der Mitglieder des Universitätsrats, des Senats und anderer Organe;

2. Einrichtung eines für die Vollziehung der studienrechtlichen Bestimmungen zuständigen monokratischen Organs und Festlegung von Rahmenbedingungen für eine etwaige Delegation von Aufgaben;

3. generelle Richtlinien für die Durchführung, Veröffentlichung und Umsetzung von Evaluierungen;

4. studienrechtliche Bestimmungen nach Maßgabe des II. Teils dieses Bundesgesetzes;

5. Zusammensetzung des Arbeitskreises für Gleichbehandlungsfragen (§42 Abs2);

6. Frauenförderungsplan und Gleichstellungsplan (§20b);

7. Einrichtung einer Organisationseinheit zur Koordination der Aufgaben der Gleichstellung, der Frauenförderung sowie der Geschlechterforschung;

8. Richtlinien für akademische Ehrungen;

9. Art und Ausmaß der Einbindung der Absolventinnen und Absolventen der Universität.

(2b) […]

Leitung und innere Organisation

§20. (1) Die obersten Organe der Universität sind der Universitätsrat, das Rektorat, die Rektorin oder der Rektor und der Senat.

(2) Die Mitgliedschaft in mehr als einem der obersten Organe der Universität ist unzulässig.

(3) Die Mitglieder von Kollegialorganen sind bei der Ausübung dieser Funktion an keine Weisungen oder Aufträge gebunden (Art81c Abs1 B VG). Sie haben mit einfacher Stimmenmehrheit eine Vorsitzende oder einen Vorsitzenden zu wählen. Kommt eine zur Wahl, Entsendung oder Nominierung von Vertreterinnen und Vertretern in ein Kollegialorgan der Universität berufene Personengruppe dieser Verpflichtung nicht zeitgerecht nach, hat der Universitätsrat dieser Personengruppe eine einmalige Nachfrist zur Nachholung der Wahl, Entsendung oder Nominierung zu setzen. Kommt der Senat seiner Verpflichtung zur Wahl der Mitglieder des Universitätsrats gemäß §21 Abs6 Z1 oder Abs7 nicht zeitgerecht nach, hat die Bundesministerin oder der Bundesminister dem Senat eine einmalige Nachfrist zur Nachholung der Wahl zu setzen. Verstreicht diese Frist ergebnislos, gilt das Kollegialorgan auch ohne Vertreterinnen und Vertreter dieser Personengruppe als gesetzmäßig zusammengesetzt.

(3a) Die Nutzung von Mitteln der elektronischen Kommunikation für Sitzungen von Kollegialorganen ist zulässig. Näheres ist in der Geschäftsordnung des Kollegialorgans zu regeln, wobei insbesondere die sichere Identifizierung der Mitglieder und zuverlässige Feststellung der Erfüllung von Beschlusserfordernissen sicherzustellen sind. Personen, die mit Mitteln der elektronischen Kommunikation an der Sitzung des Kollegialorgans teilnehmen, gelten als persönlich anwesend. Für die vom Senat gemäß §25 Abs7 und 8 eingerichteten Kollegialorgane sind in der Satzung Rahmenbedingungen für die Nutzung von Mitteln der elektronischen Kommunikation festzulegen.

(4) Das Rektorat hat nach Stellungnahme des Senats einen Organisationsplan zu erstellen, der der Genehmigung des Universitätsrats bedarf. Bei der Einrichtung von Organisationseinheiten (Departments, Fakultäten, Institute oder andere Organisationseinheiten) ist auf eine zweckmäßige Zusammenfassung nach den Gesichtspunkten von Forschung, Entwicklung und Erschließung der Künste, Lehre und Lernen sowie Verwaltung zu achten. Das Rektorat hat sicherzustellen, dass den Organisationseinheiten die zur Erfüllung ihrer Aufgaben erforderlichen Ressourcen zugewiesen werden.

(5) […]

(6) Jede Universität hat ein Mitteilungsblatt herauszugeben und im Internet auf der Homepage der Universität öffentlich zugänglich zu machen. Im Mitteilungsblatt sind insbesondere kundzumachen:

1. Satzung, Entwicklungsplan und Organisationsplan einschließlich der Personalzuordnung;

2. Eröffnungsbilanz;

3. Leistungsvereinbarung unverzüglich nach deren Abschluss, Rechnungsabschluss und Wissensbilanz unverzüglich nach deren Weiterleitung an die Bundesministerin oder den Bundesminister;

4. Verordnungen und Geschäftsordnungen von Organen;

5. Richtlinien der Leitungsorgane;

6. […]

[…]

Rektorat

§22. (1) Das Rektorat leitet die Universität und vertritt diese nach außen. Es hat alle Aufgaben wahrzunehmen, die durch dieses Bundesgesetz nicht einem anderen Organ zugewiesen sind. Zu seinen Aufgaben zählen insbesondere:

1. Erstellung eines Entwurfs der Satzung sowie von Entwürfen von Satzungsänderungen zur Vorlage an den Senat;

2. Erstellung eines Entwicklungsplans der Universität zur Vorlage an den Senat und an den Universitätsrat;

3. Erstellung eines Organisationsplans der Universität zur Vorlage an den Senat und an den Universitätsrat;

4. […]

7. Zuordnung der Universitätsangehörigen (§94 Abs1 Z2 bis 6) zu den einzelnen Organisationseinheiten;

8. […]

12a. Erlassung von Richtlinien zur strukturellen Gestaltung von Curricula nach Stellungnahme des Senates;

12b. […]

16. Erlassung von Richtlinien für die Bevollmächtigung von Arbeitnehmerinnen und Arbeitnehmern der Universität gemäß §28 Abs1;

17. […]

[…]

Senat

§25. (1) Der Senat hat folgende Aufgaben:

1. Erlassung und Änderung der Satzung auf Vorschlag des Rektorates;

2. […]

14. Einsetzung von Kollegialorganen mit und ohne Entscheidungsbefugnis (Abs7 und 8);

15. Erlassung von Richtlinien für die Tätigkeit von Kollegialorganen;

16. […]

(7) Vom Senat können zur Beratung oder Entscheidung einzelner seiner Aufgaben Kollegialorgane eingerichtet werden.

(8) Für folgende Angelegenheiten sind entscheidungsbefugte Kollegialorgane einzusetzen:

1. Habilitationsverfahren (§103),

2. Berufungsverfahren (§98),

3. Studienangelegenheiten gemäß §25 Abs1 Z10a.

Für die Beschlussfassung über die Einsetzung eines Kollegialorgans gemäß Z1 und 2 ist neben den sonstigen Beschusserfordernissen eine Mehrheit der anwesenden Mitglieder der Gruppe gemäß Abs4 Z1 einschließlich der sonstigen Mitglieder des Senats mit venia docendi erforderlich.

(9) Die Zahl der Mitglieder der Kollegialorgane gemäß Abs8 darf die Hälfte der Zahl der Senatsmitglieder nicht überschreiten. In den Kollegialorganen gemäß Abs8 Z3 stellen die Studierenden mindestens ein Viertel der Mitglieder. Die Kollegialorgane gemäß Abs7 haben in ihrer Zusammensetzung der Relation der Vertreterinnen und Vertreter der einzelnen Gruppen im Senat zu entsprechen.

(10) Die Kollegialorgane gemäß Abs7 und Abs8 Z3 sind längstens für die Dauer der Funktionsperiode des Senats einzurichten. Diese Kollegialorgane sind an die Richtlinien des Senats gebunden und entscheiden in dessen Namen. Der Senat kann eine gemäß Abs7 erteilte Entscheidungsvollmacht jederzeit widerrufen. Die Beschlüsse der Kollegialorgane gemäß Abs7 und Abs8 Z3 bedürfen der Genehmigung des Senats.

[…]

Aufsicht

§45. (1) Die Universitäten, die von ihnen gemäß §10 Abs1 gegründeten Gesellschaften, Stiftungen und Vereine sowie jene Gesellschaften, deren Geschäftsanteile die Universität mittelbar oder unmittelbar zu mindestens 50 vH hält, unterliegen der Aufsicht des Bundes. Diese umfasst die Einhaltung der Gesetze und Verordnungen einschließlich der Satzung (Rechtsaufsicht).

(2) Die zuständigen Organe der Universität haben der Bundesministerin oder dem Bundesminister im Wege des Universitätsrats auf Verlangen unverzüglich alle zur Erfüllung ihrer oder seiner Aufgaben erforderlichen Auskünfte zu erteilen und alle erforderlichen Unterlagen zu übermitteln. Dies kann allenfalls auch personenbezogene Daten (Art4 Nr 1 DSGVO) umfassen.

(3) Die Bundesministerin oder der Bundesminister hat mit Verordnung Verordnungen und mit Bescheid Entscheidungen von Universitätsorganen aufzuheben, wenn die betreffende Verordnung oder Entscheidung im Widerspruch zu geltenden Gesetzen oder Verordnungen einschließlich der Satzung steht. Im Falle einer Verletzung von Verfahrensvorschriften hat eine Aufhebung nur dann zu erfolgen, wenn das Organ bei deren Einhaltung zu einem anderen Ergebnis hätte kommen können.

(4) […]

(7) Im aufsichtsbehördlichen Verfahren haben die Universitätsorgane Parteistellung sowie das Recht, gegen den das Verfahren abschließenden Bescheid vor dem Bundesverwaltungsgericht Beschwerde zu führen.

Verfahren in behördlichen Angelegenheiten

§46.(1) Die Universitätsorgane haben in allen behördlichen Angelegenheiten das AVG anzuwenden.

(2) […]

(4) Universitätsorganen, denen gemäß Art132 Abs5 B VG das Recht der Beschwerde an das Bundesverwaltungsgericht eingeräumt ist, steht das Recht zu, gegen Erkenntnisse dieses Gerichts Revision gemäß Art133 B VG zu erheben.

(5) […].

[…]

Einteilung

§94. (1) Zu den Angehörigen der Universität zählen:

1. die Studierenden (§51 Abs2 Z14c);

2. die Forschungsstipendiatinnen und Forschungsstipendiaten;

4. das wissenschaftliche und das künstlerische Universitätspersonal;

5. das allgemeine Universitätspersonal;

6. die Privatdozentinnen und Privatdozenten (§102);

7. die emeritierten Universitätsprofessorinnen und Universitätsprofessoren;

8. die Universitätsprofessorinnen und Universitätsprofessoren im Ruhestand.

(2) […]"

3. Der Organisationsplan der Universität Mozarteum Salzburg, veröffentlicht im Mitteilungsblatt der Universität Mozarteum Salzburg, ausgegeben am 1. März 2023, 28. Stück, Nr 44, lautet auszugsweise wie folgt:

" 2. DEPARTMENTS UND INSTITUTE

2.1. Departments

Folgende Departments mit Aufgaben der Entwicklung und Erschließung der Künste sowie der Lehre der Kunst und der wissenschaftlichen/künstlerischen Forschung und Lehre sind eingerichtet:

Dept.01 Komposition und Musiktheorie

Dept.02 Tasteninstrumente

Dept.03 Streich‐ und Zupfinstrumente

Dept.04 Blas‐ und Schlaginstrumente

Dept.05 Gesang

Dept.06 Oper und Musiktheater

Dept.07 Schauspiel, Regie und Applied Theatre – Thomas Bernhard Institut

Dept.08 Szenografie

Dept.09 Musikwissenschaft

Dept.10 Musikpädagogik Salzburg

Dept.11 Musikpädagogik – Standort Innsbruck

Dept.12 Bildende Künste und Gestaltung

Dept.13 Dirigieren / Chorleitung / Blasorchesterleitung

Dept.14 Elementare Musik‐ und Tanzpädagogik – Orff Institut

Dept.15 Alte Musik – INAM

2.2. Leiter*in eines Departments

2.2.1. Die*der Leiter*in eines Departments wird vom Rektorat gemäß §20 Abs5 UG bestellt.

[…]

2.3. Aufgaben der Departmentsleitung

2.3.1. […]

2.3.9. Abhaltung von ‐ mindestens zweimal pro Semester stattfindenden ‐ Departmentssitzungen unter Beteiligung aller im Department tätigen Personengruppen. Die Sitzungstermine sollen nach Möglichkeit immer zum Ende des vorangegangenen Semesters festgesetzt werden und sind allen Angehörigen des Departments sowie dem Rektorat schriftlich bekannt zu geben.

2.3.10. Von den Departmentssitzungen ist ein Ergebnisprotokoll anzufertigen, das allen Angehörigen des Departments und dem Rektorat übermittelt wird. Berichtswesen (insbesondere zu Personaleinsatz, Sach‐ und Investitionsbudgets und zu den Entscheidungen der Departmentsleitung − Entwicklungsplan, Evaluierungen, Wissensbilanz) ist ein fester Bestandteil der Tagesordnung und des Ergebnisprotokolls. Das Sitzungsprotokoll hat mindestens zu enthalten: Ort, Datum, Uhrzeit der Sitzung, Anwesenheiten, Abwesenheiten, besprochene Themen, Unterschrift der*des Departmentleiter*in*s."

4. Die Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments an der Universität Mozarteum Salzburg, veröffentlicht im Mitteilungsblatt der Universität Mozarteum Salzburg, ausgegeben am 25. August 2023, 59. Stück, Nr 116, lautet auszugsweise wie folgt:

" Präambel

Der Organisationsplan der Universität Mozarteum Salzburg sieht vor, dass das Rektorat in Absprache mit den Leitungen der Departments nachfolgende Richtlinie erlässt. Diese dient der Stärkung der internen Kommunikation. Transparenz und Nachvollziehbarkeit sowie Einbindung in Meinungsbildungsprozesse sollen dadurch für alle dem jeweiligen Department zugeordneten Angehörigen (§22 Abs1 Z7 UG) gewährleistet werden.

[…]

Departmentsitzungen

[…]

Protokoll

(1) Über jede Sitzung ist ein Protokoll zu führen, das von der Sitzungsleitung zu unterfertigen ist.

(2) Das Protokoll hat jedenfalls zu enthalten:

- Ort, Datum, Beginn und Ende der Sitzung

- die Namen der Anwesenden der dem Department zugeordneten Angehörigen

- die Namen der nicht Anwesenden der dem Department zugeordneten Angehörigen

- die Tagesordnung

- Berichte, insbesondere zu Personaleinsatz, Sach- und Investitionsbudgets und zu den Entscheidungen der Departmentsleitung – Entwicklungsplan, Evaluierungen, Wissensbilanz

- Beschlüsse in vollem Wortlaut samt Meinungsbildungsergebnissen

- stichwortartig den wesentlichen Verlauf der Beratungen, soweit dies zum Verständnis der Beschlüsse notwendig ist

- Beiträge, deren Aufnahme in das Protokoll verlangt werden.

(3) Sämtliche Schriftstücke, die aus Anlass der Sitzung zur Kenntnis gebracht wurden, sind mit dem Protokoll abzulegen.

(4) Das Protokoll ist ehest möglich zu erstellen. Eine Abschrift davon ist schriftlich per E-Mail (an die dienstliche MOZ-E-Mail Adresse) durch die Departmentsleitung an die dem Department zugeordneten Angehörigen und an das Rektorat zu übermitteln. Darüber hinaus können alle Protokolle bei der Departmentsleitung eingesehen werden.

(5) Einwendungen gegen das Protokoll sind spätestens beim Tagesordnungspunkt 'Genehmigung des Protokolls' vorzubringen. Einwendungen können sich nur gegen eine sachlich unrichtige Wiedergabe des Sitzungsverlaufs richten.

Audioaufzeichnungen

Im Rahmen der Departmentsitzung sind für Zwecke der Protokollierung Audioaufzeichnungen durch den*die Protokollführende*n zulässig. Nach Genehmigung des jeweiligen Protokolls sind die Audioaufzeichnungen umgehend zu löschen."

5. Der Verhaltenskodex - Code of Conduct der Universität Mozarteum Salzburg, veröffentlicht im Mitteilungsblatt der Universität Mozarteum Salzburg, ausgegeben am 14. September 2023, 63. Stück, Nr 121, lautet auszugsweise wie folgt:

"§3 Wertschätzung und Gesprächskultur

[…]

Im täglichen Miteinander sind angemessene Umgangsformen und eine wertschätzende, respektvolle Gesprächskultur zu praktizieren. Ton-, Bild- und Videoaufnahmen ohne vorherige Einwilligung der aufgenommenen Person sind rechtswidrig und unzulässig, ausgenommen Aufzeichnungen für Zwecke der Protokollierung von Sitzungen.

[…]."

III. Erwägungen

Die – zulässige – Beschwerde ist begründet:

1. Die beschwerdeführende Universität wendet sich in ihrer Beschwerde an das Bundesverwaltungsgericht insbesondere auch gegen Spruchpunkt 4. des angefochtenen Bescheides der Datenschutzbehörde, demzufolge die beschwerdeführende Universität wegen einer rechtsgrundlos angefertigten Audioaufnahme in der Departmentsitzung vom 28. November 2023 gemäß Art58 Abs2 litb DSGVO verwarnt wird.

Das Bundesverwaltungsgericht bestätigt diesen Ausspruch des Bescheides der Datenschutzbehörde mit folgender tragenden Begründung:

Da die – Audioaufzeichnungen einer Departmentsitzung für Zwecke der Protokollierung für zulässig erklärende – Richtlinie des Rektorats zu den Kommunikations- und Meinungsbildungsprozessen der Departments an der Universität Mozarteum Salzburg – zum maßgeblichen Zeitpunkt – im Mitteilungsblatt der Universität veröffentlicht war, habe das Bundesverwaltungsgericht zu prüfen, ob diese Vorschrift eine Rechtsgrundlage iSd Art6 Abs3 DSGVO darstelle. Dafür sei notwendig, dass es sich bei dieser Vorschrift um eine Rechtsverordnung handle. Dies verneint das Bundesverwaltungsgericht mit folgender Argumentation:

Als zentrales Element einer Rechtsverordnung gelte die Außenwirkung. Bereits aus der Präambel der Richtlinie gehe hervor, dass sich diese ausschließlich an Angehörige eines Departments richtet. Hingegen könne eine Regelung, welche Außenwirkung (somit das Verhalten von Externen regelt) entfaltet, der Richtlinie nicht entnommen werden. Damit fehle es der Richtlinie am notwendigen Verordnungscharakter, um eine rechtliche Grundlage für den Erlaubnistatbestand des Art6 Abs1 lite DSGVO bilden zu können.

Die Behandlung des weiteren Beschwerdevorbringens bzw eine Auseinandersetzung mit einer allfälligen Verdrängung verordnungsförmiger Regelungen durch das Unionsrecht könne daher unterbleiben. Vor diesem Hintergrund sei die seitens der Datenschutzbehörde ausgesprochene Verwarnung "als vertretbar" anzusehen.

2. Gemäß Art81c Abs1 B VG handeln öffentliche Universitäten – wie die Universität Mozarteum Salzburg – im Rahmen der Gesetze autonom und können Satzungen erlassen. Dieser Satzungsbegriff des Art81c Abs1 Satz 2 BVG ist weiter als derjenige des §19 Abs1 UG und erfasst alle, soweit im vorliegenden Fall maßgeblich, vom Rektorat oder Senat auf Grund des Art81c Abs1 BVG bzw auf Grundlage ausdrücklicher Verordnungsermächtigungen im UG erlassene Verordnungen (zur Satzungsautonomie als Teil der Universitätsautonomie und ihren Grenzen vgl VfSlg 19.775/2013). Schon aus Art81c Abs1 Satz 2 B VG folgt dabei, dass sich die von der Universität im Rahmen der Gesetze erlassenen Verordnungen vor allem auch an die Universitätsangehörigen richten, ist doch die autonome Regelung ihrer Angelegenheiten ein wesentlicher Grund für die Satzungsautonomie des Art81c Abs1 Satz 2 B VG (vgl Kucsko-Stadlmayer , Art81c B VG, in Korinek/Holoubek et al. [Hrsg.], Österreichisches Bundesverfassungsrecht, 10. Lfg. 2011, Rz 53 ff.).

Die Universitätsangehörigen sind die geradezu typischen Adressaten von Verordnungen des Rektorats oder des Senats, deren Verhalten von den zuständigen Leitungsorganen der Universität in bestimmter Hinsicht geregelt werden soll. Die der Rechtsansicht des Bundesverwaltungsgerichtes zugrunde liegende Vorstellung, dass eine Rechtsverordnung im konkreten Fall des Rektorats nur vorliegen könne, wenn "externe Dritte" und nicht mehr Angehörige der Universität durch die Regelung berechtigt oder verpflichtet werden, steht damit in offensichtlichem Widerspruch zu Art81c Abs1 Satz 2 B VG.

Indem das Bundesverwaltungsgericht somit die Bedeutung der Verordnungsermächtigung des Art81c Abs1 Satz 2 B VG grundsätzlich verkannt hat, hat es sein Erkenntnis mit Willkür belastet. Das Erkenntnis ist daher schon aus diesem Grund aufzuheben, womit auf das weitere Beschwerdevorbringen nicht weiter einzugehen ist.

3. Das Bundesverwaltungsgericht wird sich im fortgesetzten Verfahren insbesondere mit der Argumentation der beschwerdeführenden Universität (die sie auch schon vor dem Bundesverwaltungsgericht vorgebracht hat) auseinanderzusetzen haben, dass es sich gerade im Hinblick auf Art6 Abs1 lite DSGVO bei der in Rede stehenden Richtlinie des Rektorats um eine Rechtsverordnung handelt, und in diesem Zusammenhang auch zu prüfen haben, ob der Organisationsplan des Rektorats zulässigerweise eine beratende kollegiale Einrichtung "Departmentsitzung" einrichten darf (oder ob die Einrichtung von Kollegialorganen auch beratender Natur dem Senat vorbehalten ist). Weiters wird sich das Bundesverwaltungsgericht mit der im angefochtenen Bescheid der Datenschutzbehörde – für den Fall, dass es sich bei der Richtlinie des Rektorats um eine Rechtsverordnung handelt – ausführlich dargelegten Begründung auseinanderzusetzen haben, warum durch die (Ermächtigung zur Vornahme von) Audioaufzeichnungen zu Zwecken der Protokollierung in Departmentsitzungen der Universität aus den von der Datenschutzbehörde geltend gemachten Gründen gegen die DSGVO verstoßen wird.

IV. Ergebnis

1. Die Beschwerdeführerin ist somit durch das angefochtene Erkenntnis in den verfassungsgesetzlich gewährleisteten Rechten auf Gleichheit aller Staatsbürger vor dem Gesetz gemäß Art7 BVG und Art2 StGG sowie auf Achtung der Universitätsautonomie gemäß Art81c Abs1 B VG verletzt worden.

Das Erkenntnis ist daher aufzuheben, ohne dass auf das weitere Beschwerdevorbringen einzugehen ist.

2. Diese Entscheidung konnte gemäß §19 Abs4 VfGG ohne mündliche Verhandlung in nichtöffentlicher Sitzung getroffen werden.

3. Die Kostenentscheidung beruht auf §88 VfGG. In den zugesprochenen Kosten ist Umsatzsteuer in der Höhe von € 436,– sowie eine Eingabengebühr in der Höhe von € 240,– enthalten.