Verwaltungsgerichtshof (VwGH)

Der EuGH hat zur Definition des Verantwortlichen nach Art. 4 Z 7 DSGVO - im Kontext des Art. 26 DSGVO - festgehalten, dass jede natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für diese Verarbeitung Verantwortlicher angesehen werden kann (EuGH 2.12.2025, C-492/23, Russmedia Digital SRL, Rn. 58; 7.3.2024, C-604/22, IAB Europe, Rn. 57; 5.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rn. 30; 10.7.2018, C-25/17).Der EuGH hat zur Definition des Verantwortlichen nach Artikel 4, Ziffer 7, DSGVO - im Kontext des Artikel 26, DSGVO - festgehalten, dass jede natürliche oder juristische Person, die aus Eigeninteresse auf die Verarbeitung personenbezogener Daten Einfluss nimmt und damit an der Entscheidung über die Zwecke und Mittel dieser Verarbeitung mitwirkt, als für diese Verarbeitung Verantwortlicher angesehen werden kann (EuGH 2.12.2025, C-492/23, Russmedia Digital SRL, Rn. 58; 7.3.2024, C-604/22, IAB Europe, Rn. 57; 5.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rn. 30; 10.7.2018, C-25/17).

Zur Beurteilung der Stellung des Verantwortlichen im Sinne von Art. 2 Buchst. d der Richtlinie 95/46 führte der EuGH in seinem Urteil vom 29. Juli 2019, C-40/17, Fashion ID, aus, dass unbeschadet einer etwaigen insoweit im nationalen Recht vorgesehenen zivilrechtlichen Haftung, eine natürliche oder juristische Person für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel festlegt, nicht als im Sinne dieser Vorschrift verantwortlich angesehen werden kann (Rn. 74). In der Entscheidung vom 7. März 2024, C-604/22, IAB Europe/Gegevensbeschermingsautoriteit, hat der EuGH dem Handeln aus Eigeninteresse (Rn. 57 und 61) hohen Stellenwert für die Qualifikation einer Branchenorganisation als Verantwortlicher nach Art. 4 Z 7 DSGVO eingeräumt.Zur Beurteilung der Stellung des Verantwortlichen im Sinne von Artikel 2, Buchst. d der Richtlinie 95/46 führte der EuGH in seinem Urteil vom 29. Juli 2019, C-40/17, Fashion ID, aus, dass unbeschadet einer etwaigen insoweit im nationalen Recht vorgesehenen zivilrechtlichen Haftung, eine natürliche oder juristische Person für vor- oder nachgelagerte Vorgänge in der Verarbeitungskette, für die sie weder die Zwecke noch die Mittel festlegt, nicht als im Sinne dieser Vorschrift verantwortlich angesehen werden kann (Rn. 74). In der Entscheidung vom 7. März 2024, C-604/22, IAB Europe/Gegevensbeschermingsautoriteit, hat der EuGH dem Handeln aus Eigeninteresse (Rn. 57 und 61) hohen Stellenwert für die Qualifikation einer Branchenorganisation als Verantwortlicher nach Artikel 4, Ziffer 7, DSGVO eingeräumt.

Die Verantwortlichkeit ist auf Vorgänge der Datenverarbeitung beschränkt, für die der Betreffende tatsächlich über die Zwecke und Mittel entscheidet (vgl. EuGH 29.7.2019, C-40/17, Fashion ID, Rn. 85; vgl. VwGH 27.6.2023, Ro 2023/04/0013-0015, Rn. 22).Die Verantwortlichkeit ist auf Vorgänge der Datenverarbeitung beschränkt, für die der Betreffende tatsächlich über die Zwecke und Mittel entscheidet vergleiche EuGH 29.7.2019, C-40/17, Fashion ID, Rn. 85; vergleiche VwGH 27.6.2023, Ro 2023/04/0013-0015, Rn. 22).

Die Mitwirkung an der Entscheidung über die Zwecke und Mittel der Datenverarbeitung kann verschiedene Formen annehmen und sich sowohl aus einer gemeinsamen Entscheidung von zwei oder mehr Einrichtungen als auch aus übereinstimmenden Entscheidungen ergeben, die sich in einer Weise ergänzen, dass sich jede von ihnen konkret auf die Festlegung der Verarbeitungszwecke und -mittel auswirkt (vgl. EuGH 7.3.2024, C-604/22, IAB Europe, Rn. 59; 5.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rn. 43).Die Mitwirkung an der Entscheidung über die Zwecke und Mittel der Datenverarbeitung kann verschiedene Formen annehmen und sich sowohl aus einer gemeinsamen Entscheidung von zwei oder mehr Einrichtungen als auch aus übereinstimmenden Entscheidungen ergeben, die sich in einer Weise ergänzen, dass sich jede von ihnen konkret auf die Festlegung der Verarbeitungszwecke und -mittel auswirkt vergleiche EuGH 7.3.2024, C-604/22, IAB Europe, Rn. 59; 5.12.2023, C-683/21, Nacionalinis visuomenės sveikatos centras, Rn. 43).

Die Frage der Verantwortlichenstellung ist unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalles zu beurteilen. Um zu klären, ob eine Person als Verantwortliche im Sinn des Art. 4 Z 7 DSGVO (bzw. allenfalls als gemeinsam Verantwortliche gemäß Art. 26 Abs. 1 DSGVO) angesehen werden kann, ist zu prüfen, ob sie unter Berücksichtigung der besonderen Umstände des Falles aus Eigeninteresse auf die betreffende Verarbeitung personenbezogener Daten Einfluss genommen und - allenfalls gemeinsam mit anderen - die Zwecke der und die Mittel zur fraglichen Bearbeitung festgelegt hat. Es kommt daher darauf an, welche natürliche oder juristische Person jeweils die Entscheidung sowohl über den Zweck - das "warum" - als auch über die Mittel - "auf welche Weise" - in Bezug auf die konkrete Handlung getroffen hat (vgl. VwGH 27.3.2025, Ro 2022/04/0023, Rn. 31).Die Frage der Verantwortlichenstellung ist unter Berücksichtigung aller maßgeblichen Umstände des Einzelfalles zu beurteilen. Um zu klären, ob eine Person als Verantwortliche im Sinn des Artikel 4, Ziffer 7, DSGVO (bzw. allenfalls als gemeinsam Verantwortliche gemäß Artikel 26, Absatz eins, DSGVO) angesehen werden kann, ist zu prüfen, ob sie unter Berücksichtigung der besonderen Umstände des Falles aus Eigeninteresse auf die betreffende Verarbeitung personenbezogener Daten Einfluss genommen und - allenfalls gemeinsam mit anderen - die Zwecke der und die Mittel zur fraglichen Bearbeitung festgelegt hat. Es kommt daher darauf an, welche natürliche oder juristische Person jeweils die Entscheidung sowohl über den Zweck - das "warum" - als auch über die Mittel - "auf welche Weise" - in Bezug auf die konkrete Handlung getroffen hat vergleiche VwGH 27.3.2025, Ro 2022/04/0023, Rn. 31).